Перевірка SPF: хто може надсилати пошту від імені цього домену?

SPF — це DNS-запис, у якому домен перелічує сервери, яким дозволено надсилати його пошту. Без нього, або якщо він зламаний чи надто відкритий, легше розсилати підроблені листи від імені цього домену. Введіть домен, адресу електронної пошти або посилання, і ми прочитаємо його SPF-запис і пояснимо його.

Додати до пріоритетних джерел Завантажити вGoogle Play Завантажити вApp Store

Як користуватися

Введіть домен, який хочете перевірити, або вставте адресу електронної пошти чи посилання: ми використовуємо лише домен.
Натисніть «Перевірити SPF». Ми прочитаємо SPF-запис і пройдемо кожен include, як це зробив би сервер-одержувач.
Подивіться, чим закінчується запис, і на кількість запитів: добре, якщо в кінці стоїть «-all» або «~all», а запитів 10 чи менше.

Що означає кожен результат

Цей домен не має SPF: Він не вказує, які сервери можуть надсилати його пошту, тож його легше підробити. Якщо це ваш домен, опублікуйте SPF-запис.
У SPF-записі є помилки: Сервери-одержувачі не можуть його застосувати, тож для них домен не має SPF. Що не так, показують сигнали нижче.
Будь-хто може надсилати пошту від імені цього домену: Запис закінчується на «+all», а це дозвіл для всіх серверів у світі. За такого налаштування SPF нічого не захищає.
SPF захищає домен не повністю: Запис не каже, що робити із серверами, яких немає в його списку, тож підроблені листи від імені домену не позначаються.
SPF налаштовано правильно: Домен перелічує сервери, які можуть надсилати його пошту, і просить сервери-одержувачі позначати або відхиляти решту. Сам по собі SPF не зупиняє підробку: що робити серверам-одержувачам, каже DMARC.

Що означає кожен сигнал

Домен не публікує SPF-запис.
Домен (цей або включений) публікує більше ніж один SPF-запис. Дозволено лише один, тож сервери-одержувачі вважають це помилкою.
У записі є неправильно написаний елемент, тож сервери-одержувачі вважають його помилковим.
Запису потрібно понад 10 DNS-запитів з урахуванням усіх include. Якщо їх більше 10, сервери-одержувачі вважають запис помилковим.
Один з include вказує на домен без SPF-запису, тож сервери-одержувачі вважають запис помилковим.
Механізми include утворюють цикл: домен зрештою включає сам себе.
Запис закінчується на «+all»: будь-який сервер у світі може надсилати пошту від імені цього домену.
Запис закінчується на «?all»: він нічого не каже про сервери, яких немає в списку, тож не захищає.
Запис закінчується на «~all»: листи з інших серверів позначаються як підозрілі, але не відхиляються. Це найпоширеніше налаштування.
У кінці запису немає «all», тож сервери, яких немає в списку, отримують нейтральний результат і жодного захисту немає.
Запис використовує «ptr» — повільний механізм, який стандарт не рекомендує. Багато серверів-одержувачів його пропускають.
Запис використовує макроси (елементи з %), які змінюються для кожного листа, тож ми не можемо простежити цю частину, і реальна кількість запитів може бути більшою.

Які країни охоплено

Працює з доменами з будь-якої країни. Ми читаємо запис так само, як сервери-одержувачі (RFC 7208): його механізми, те, чим він закінчується, кожен include і redirect (до 30 запитів) і кількість DNS-запитів за ліміту в 10.

Ми читаємо публічні DNS-записи домену. Якщо ви вводите адресу електронної пошти або посилання, з вашого браузера передається лише домен. Домен, який ви перевіряєте, не зберігається.

Поширені запитання

Що таке SPF?

Sender Policy Framework — DNS-запис, у якому домен перелічує сервери, яким дозволено надсилати його пошту. Сервер, що отримав лист, перевіряє, чи є в цьому списку сервер, який його доставив.

Що краще: «-all» чи «~all»?

«-all» просить сервери-одержувачі відхиляти листи із серверів, яких немає в списку, а «~all» — позначати їх як підозрілі. Обидва варіанти захищають, і багато доменів використовують «~all», залишаючи рішення за DMARC. «+all» і «?all» не захищають.

Чому важливий ліміт у 10 запитів?

Кожен include, a, mx, ptr, exists і redirect змушує сервер-одержувач звертатися до DNS. Якщо всьому запису потрібно понад 10 запитів, він вважається помилковим і SPF перестає працювати. Приберіть сервіси, якими більше не користуєтеся, або попросіть у свого провайдера простіший include.

Чи зупиняє SPF підроблені листи сам по собі?

Ні. SPF перевіряє прихованого відправника з «конверта» листа, а не адресу, яку ви бачите в полі «Від». Пов’язує їх саме DMARC: він просить сервери-одержувачі відправляти в карантин або відхиляти листи, що не пройшли перевірку. Перевірте також DMARC домену.