SPF

Что такое SPF

Sender Policy Framework — опубликованный список почтовых серверов, которым разрешено отправлять почту от имени домена. Список живет в TXT-записи в корне домена и выглядит так:

v=spf1 ip4:203.0.113.0/24 include:_spf.example-provider.com -all

Когда принимающий сервер получает письмо, он берет домен из envelope-отправителя (адрес MAIL FROM, который может отличаться от видимого заголовка From:), получает SPF-запись и проверяет, есть ли IP подключившегося сервера в списке. -all в конце означает «все не перечисленное должно провалиться»; ~all — «считать подозрительным, но принять»; +all — «отправлять может кто угодно», что равносильно отсутствию записи.

Чтение механизмов

• ip4: и ip6: перечисляют адреса или диапазоны CIDR напрямую.
• a и mx авторизуют запись A домена и хосты MX.
• include: подтягивает запись другого домена — для сторонних отправителей.
• redirect= передает всю оценку другому домену.

Запись может вызвать не более десяти DNS-запросов при оценке; include, a, mx и redirect считаются каждый. Превышение лимита дает постоянную ошибку, и проверка проваливается — самая частая проблема SPF у доменов с несколькими сервисами отправки.

Почему это важно

Без SPF кто угодно может отправить почту якобы от вашего домена, и у получателей нет дешевого способа это распознать. С ним поддельная почта с неавторизованных серверов проверку не проходит. Сам по себе SPF не защищает видимый адрес From:, который люди на самом деле читают; это работа DMARC, который связывает результаты SPF и DKIM с доменом заголовка. Домен, отправляющий почту, должен иметь все три.

Как проверить

Используйте DNS-запрос с типом TXT и найдите запись, начинающуюся с v=spf1. Она должна быть ровно одна; две SPF-записи — ошибка, из-за которой проверка проваливается. Затем вставьте заголовки письма в анализ заголовков письма, чтобы увидеть строку Received-SPF или Authentication-Results, добавленную получателем, — она говорит, как запись была реально оценена для настоящего письма.

Распространенные заблуждения

SPF ничего не подписывает и не шифрует и ломается при пересылке почты, потому что пересылающего сервера нет в списке исходного домена. Поэтому DKIM, переживающий пересылку, — вторая половина картины.