brak weryfikacji SPF

Brak weryfikacji SPF to usterka konfiguracji domenowej uniemożliwiająca potwierdzenie autoryzowanych serwerów wysyłających.

Rola SPF w ocenie nadawcy wiadomości

SPF, czyli Sender Policy Framework, jest mechanizmem opisującym, z jakich serwerów pocztowych wolno wysyłać wiadomości w imieniu danej domeny. Informacja SPF jest publikowana w systemie DNS jako rekord typu TXT. Serwer odbierający wiadomość odczytuje ten rekord i porównuje adres IP serwera wysyłającego z regułami zapisanymi dla domeny użytej w kopercie SMTP. Dzięki temu można sprawdzić, czy połączenie pocztowe pochodzi z serwera wskazanego przez administratora domeny.

Weryfikacja SPF dotyczy przede wszystkim domeny użytej w poleceniu SMTP MAIL FROM, nazywanej także adresem koperty lub adresem zwrotnym. Nie jest to automatycznie ta sama domena, która znajduje się w widocznym dla odbiorcy nagłówku From. Z tego powodu sama obecność adresu nadawcy w treści wiadomości nie potwierdza poprawnego uwierzytelnienia SPF. Wynik kontroli może być później uwzględniany razem z DKIM i DMARC przy podejmowaniu decyzji o dostarczeniu, oznaczeniu jako spam albo odrzuceniu wiadomości.

Co technicznie oznacza brak weryfikacji SPF

Brak weryfikacji SPF może oznaczać, że domena nie ma rekordu TXT opisującego dozwolone źródła wysyłki, rekord jest zapisany pod niewłaściwą nazwą albo system odbiorczy nie potrafi go odczytać. Problem występuje również wtedy, gdy wiadomość jest wysyłana z adresu IP, którego nie obejmuje opublikowana polityka. W takim przypadku odbiorca nie ma podstaw do potwierdzenia, że konkretny serwer jest autoryzowany przez właściciela domeny.

Poprawny rekord SPF ma postać pojedynczego rekordu TXT rozpoczynającego się od wersji v=spf1. Dalsza część może wskazywać między innymi adresy IPv4 przez mechanizm ip4, adresy IPv6 przez ip6, hosty rozwiązywane mechanizmem a, serwery pocztowe wskazane przez mx albo zewnętrzne polityki dołączane przez include. Końcowy mechanizm, na przykład -all, określa zachowanie wobec serwerów, które nie pasują do wcześniejszych reguł. Nie wolno publikować kilku niezależnych rekordów SPF dla tej samej nazwy domenowej, ponieważ odbiorca może uznać politykę za niepoprawną.

Ślady problemu w DNS i nagłówkach pocztowych

Rozpoznanie usterki wymaga sprawdzenia, czy dla właściwej domeny istnieje rekord TXT oraz czy zawiera on aktualne źródła wysyłki. Sam wpis w panelu rejestratora nie jest wystarczającym dowodem, ponieważ rekord może być zapisany w innej strefie DNS, mieć błędną nazwę albo nie być jeszcze widoczny dla używanych serwerów DNS. Należy także sprawdzić, czy dostawca poczty nie zmienił adresów serwerów wysyłających i czy wszystkie używane systemy zostały uwzględnione w jednej polityce SPF.

W nagłówkach odebranej wiadomości wynik kontroli jest zwykle widoczny w polu Authentication-Results albo w dodatkowych nagłówkach dodanych przez serwer odbiorczy. Warto odróżnić wyniki pass, neutral, softfail, fail, none i temperror. Wynik none zazwyczaj wskazuje na brak rozpoznawalnej polityki SPF, natomiast fail oznacza, że adres serwera nie pasuje do reguł. Błąd chwilowy DNS może dać wynik temperror, a nie trwały brak konfiguracji. Przy rozbudowanych rekordach trzeba również kontrolować limit dziesięciu wyszukiwań DNS podczas oceny SPF, ponieważ jego przekroczenie może zakończyć sprawdzanie błędem permerror.

Znaczenie konfiguracji SPF dla diagnostyki komputera

SPF jest ustawieniem domenowym, więc jego przyczyna nie musi znajdować się w laptopie ani w komputerze stacjonarnym. Na urządzeniu użytkownika można jednak sprawdzić, czy problem dotyczy jednego programu pocztowego, wszystkich wiadomości wysyłanych z danego konta, czy wyłącznie wiadomości kierowanych do konkretnego odbiorcy. Przydatne jest porównanie adresu w polu From z adresem koperty SMTP, odczytanie pełnych nagłówków oraz ustalenie, z jakiego serwera i z jakiego adresu IP wiadomość została faktycznie wysłana.

Jeżeli rekord SPF jest poprawny, a wiadomości nadal nie przechodzą weryfikacji, należy przeanalizować trasę wysyłki. Częstą przyczyną jest korzystanie z przekierowania, zewnętrznego formularza kontaktowego, systemu powiadomień albo programu, który wysyła pocztę przez inny serwer niż podstawowy dostawca skrzynki. Zmiana lokalnego klienta pocztowego nie naprawi błędnego rekordu DNS, ale może ujawnić, z którego serwera korzysta konto. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w przypadku problemów z obsługą poczty na urządzeniu można rozpocząć od sprawdzenia konfiguracji systemu, programu pocztowego i połączenia sieciowego, oddzielając te elementy od samej polityki SPF domeny.