brak SPF

Brak SPF to usterka konfiguracji domenowej pozbawiająca właściciela domeny mechanizmu autoryzacji serwerów uprawnionych do wysyłki.

Brak SPF – czym jest ten problem w domenie

Brak SPF oznacza, że dla domeny nie opublikowano rekordu TXT opisującego, które systemy mogą wysyłać wiadomości w jej imieniu. SPF, czyli Sender Policy Framework, działa jako mechanizm weryfikacji nadawcy na poziomie DNS. Podczas przyjmowania poczty serwer odbiorcy sprawdza domenę widoczną w określonych elementach wiadomości, odczytuje jej rekord SPF i porównuje adres IP nadawcy z zadeklarowaną listą uprawnionych źródeł.

Jeżeli rekord nie istnieje, odbiorca nie otrzymuje wskazówki, czy wiadomość pochodzi z dozwolonego systemu. Nie oznacza to automatycznie, że każda wiadomość zostanie odrzucona. W zależności od polityki odbiorcy może zostać dostarczona do skrzynki głównej, skierowana do spamu albo zatrzymana przed doręczeniem. Brak SPF zwiększa jednak niepewność przy ocenie nadawcy i utrudnia ochronę domeny przed podszywaniem się.

Warto odróżnić brak SPF od błędnego SPF. W pierwszym przypadku nie ma rekordu spełniającego funkcję deklaracji. W drugim rekord istnieje, ale może zawierać nieprawidłową składnię, nieaktualne adresy, nadmiarowe odwołania lub sprzeczne mechanizmy. Skutek bywa podobny, lecz sposób naprawy jest inny. Przy braku SPF trzeba ustalić rzeczywiste źródła korespondencji i utworzyć właściwy rekord, natomiast przy błędnej konfiguracji należy uporządkować już opublikowaną regułę.

Brak SPF w kontekście DNS i porównanie z DKIM oraz DMARC

Rekord SPF jest przechowywany w strefie DNS jako rekord TXT przypisany do domeny. Nie konfiguruje się go w programie pocztowym użytkownika, lecz w panelu operatora DNS, rejestratora albo dostawcy obsługującego strefę domeny. Sam wpis nie zawiera treści wiadomości ani hasła. Jest publiczną deklaracją, która pozwala systemom odbierającym sprawdzić, z jakich adresów i usług może być wysyłana poczta.

Najprostsza zasada SPF może wskazywać pojedynczy adres IP, zakres adresów albo zewnętrznego dostawcę za pomocą mechanizmu include. W praktyce spotyka się połączenie kilku źródeł: firmowej poczty, formularza kontaktowego, systemu fakturowania, platformy newsletterowej i narzędzia do obsługi zgłoszeń. Każde z tych źródeł musi być uwzględnione tylko wtedy, gdy rzeczywiście wysyła wiadomości z daną domeną jako nadawcą. Dodawanie przypadkowych wpisów osłabia przejrzystość konfiguracji i może utrudniać późniejszą diagnostykę.

SPF nie zastępuje DKIM. SPF weryfikuje uprawnienie źródła na podstawie adresu IP, natomiast DKIM wykorzystuje podpis kryptograficzny do potwierdzenia, że wiadomość pochodzi z autoryzowanego systemu i nie została zmieniona w drodze. DMARC łączy wyniki SPF i DKIM z zasadami postępowania wobec wiadomości, które nie przejdą kontroli. Pozwala także otrzymywać raporty o próbach wysyłki z użyciem domeny. Z tego powodu brak SPF może być jednym z elementów większego problemu z ochroną poczty, ale jego usunięcie nie oznacza jeszcze pełnego wdrożenia wszystkich mechanizmów uwierzytelniania.

Przy porównywaniu wyników należy pamiętać o różnicy między domeną widoczną dla odbiorcy a domeną używaną podczas technicznej weryfikacji. Przekazywanie wiadomości dalej, aliasy, bramki filtrujące i zewnętrzne systemy wysyłkowe mogą wpływać na wynik SPF. Dlatego sama obserwacja adresu nadawcy w programie pocztowym nie wystarcza do odtworzenia konfiguracji. Potrzebne są nagłówki wiadomości, dane DNS oraz informacja o wszystkich usługach, które mogą wysyłać korespondencję.

Brak SPF a typowe problemy z dostarczaniem poczty

Jednym z częstych objawów jest trafianie wiadomości do folderu spam, mimo że adres nadawcy wygląda poprawnie. W innych przypadkach pojawia się komunikat o odrzuceniu wiadomości, opóźnienie dostarczenia albo informacja o nieudanej kontroli nadawcy. Skutek może występować tylko u części odbiorców, ponieważ różne systemy pocztowe stosują odmienne zasady oceny ryzyka. Wiadomości do jednej domeny mogą docierać bez przeszkód, a do innej być oznaczane jako podejrzane.

Brak SPF może również powodować trudności przy wysyłce automatycznej. Formularz na stronie, system powiadomień, program do wysyłania korespondencji seryjnej lub platforma obsługi klienta może korzystać z własnej infrastruktury. Jeżeli domena nie wskazuje takiego źródła, wiadomości wysyłane automatycznie mogą mieć gorszą reputację albo nie docierać do adresatów. Problem często ujawnia się dopiero po zmianie dostawcy poczty, uruchomieniu nowego narzędzia lub przeniesieniu domeny do innego operatora DNS.

Nie należy zakładać, że utworzenie dowolnego rekordu TXT rozwiąże sprawę. Rekord zawierający przypadkowy adres może spowodować, że legalna poczta nadal nie przejdzie kontroli. Podobny skutek daje pozostawienie starego wpisu po zmianie usługi. W jednej domenie powinien znajdować się jeden spójny rekord SPF. Kilka oddzielnych rekordów tego typu może prowadzić do błędu permanentnego i uniemożliwić prawidłową interpretację reguły.

Problematyczne bywają także przekierowania poczty. Jeżeli wiadomość zostaje przekazana przez inny system, jej rzeczywiste źródło może nie odpowiadać pierwotnej deklaracji SPF. W takich sytuacjach pomocne są mechanizmy DKIM, odpowiednia konfiguracja przekazywania oraz dostosowanie polityki DMARC. Nie powinno się wyłączać wszystkich zabezpieczeń tylko po to, aby pojedynczy przypadek przekazywania zaczął działać.

Brak SPF – praktyczne wskazówki dotyczące diagnozy

Diagnozę warto rozpocząć od ustalenia, gdzie znajduje się aktywna strefa DNS. Zdarza się, że domena jest zarejestrowana u jednego podmiotu, jej DNS jest obsługiwany przez drugi, a poczta działa u trzeciego. Zmiana rekordu w niewłaściwym panelu nie przyniesie efektu, nawet jeżeli wpis wygląda poprawnie. Należy sprawdzić serwery nazw przypisane do domeny, a następnie odszukać rekordy TXT opublikowane dla głównej domeny.

Kolejny krok polega na sporządzeniu listy wszystkich legalnych źródeł wysyłki. Warto uwzględnić zwykłą pocztę użytkowników, wiadomości z formularza, automatyczne potwierdzenia, powiadomienia systemowe, newslettery i usługi zewnętrzne. Nie powinno się dopisywać do SPF narzędzi, które tylko odbierają pocztę albo nie używają danej domeny jako adresu nadawcy. Im dokładniejsza lista, tym mniejsze ryzyko pozostawienia niepotrzebnych uprawnień.

W składni SPF należy zachować ostrożność. Rekord zaczyna się od oznaczenia v=spf1, po którym umieszcza się odpowiednie mechanizmy, a na końcu kwalifikator określający sposób traktowania źródeł nieujętych w regule. Zbyt restrykcyjna końcówka może odrzucać legalne wiadomości, jeżeli wcześniej pominięto któryś system. Zbyt łagodna końcówka ogranicza wartość ochronną konfiguracji. Rekord powinien być także odpowiednio krótki, ponieważ nadmierna liczba odwołań DNS może przekroczyć dopuszczalny limit wyszukiwań.

Po zapisaniu zmian trzeba uwzględnić czas potrzebny na odświeżenie informacji w różnych resolverach DNS. Nie zawsze wynik pojawia się natychmiast w każdym miejscu. Kontrolę warto wykonać z kilku niezależnych narzędzi, sprawdzając zarówno obecność rekordu, jak i jego składnię. Następnie należy wysłać wiadomość testową do różnych dostawców i przeanalizować pełne nagłówki, w szczególności sekcję zawierającą wynik kontroli SPF, DKIM i DMARC.

• należy potwierdzić, że dla domeny istnieje jeden główny rekord SPF;
• należy porównać wpis z aktualną listą usług wysyłających;
• należy usunąć nieużywane i nieznane źródła;
• należy sprawdzić, czy rekord nie został wpisany w niewłaściwej domenie lub subdomenie;
• należy ponowić test po odświeżeniu danych DNS;
• należy ocenić nagłówki rzeczywistej wiadomości, a nie tylko jej wygląd w skrzynce.

Brak SPF – kiedy zgłosić się do serwisu

Wsparcie specjalisty jest uzasadnione, gdy nie wiadomo, który operator zarządza DNS, poczta jest rozdzielona między kilka usług albo po zmianie konfiguracji część wiadomości przestaje docierać. Pomoc może być potrzebna również wtedy, gdy rekord istnieje, lecz testy pokazują błąd składni, przekroczenie limitu zapytań lub rozbieżność między deklarowanym źródłem a nagłówkami wiadomości. Przed modyfikacją warto zachować kopię obecnych rekordów i przygotować listę wykorzystywanych usług.

W sprawach związanych z konfiguracją domeny i poczty można skorzystać z pomocy Warszawskiego Pogotowia Komputerowego 24/7, a faktura VAT jest wystawiana na życzenie. Przy zgłoszeniu przydatne będzie podanie nazwy domeny, operatora poczty, miejsca obsługi DNS oraz przykładowego komunikatu o błędzie. Nie należy przekazywać haseł do skrzynki ani danych logowania w wiadomości zgłoszeniowej.

Po usunięciu braku SPF warto traktować konfigurację jako element stałej administracji domeną, a nie jednorazową zmianę. Każde dodanie nowej usługi wysyłkowej powinno być poprzedzone sprawdzeniem, czy wymaga aktualizacji SPF, DKIM lub DMARC. Przy odejściu od starego dostawcy zbędne uprawnienia powinny zostać usunięte. Takie podejście ogranicza ryzyko podszywania się pod domenę, ułatwia dostarczanie legalnej korespondencji i pozwala szybciej wykryć kolejne problemy z pocztą.