rekord SPF

Rekord SPF to wpis DNS wymieniający serwery uprawnione do wysyłki w imieniu domeny.

Po co domenie lista uprawnionych nadawców

Protokół pocztowy powstał bez jakiegokolwiek uwierzytelnienia nadawcy — dowolny serwer na świecie może przedstawić się adresem z cudzej domeny. Wpis SPF w DNS jest odpowiedzią na ten brak: publikuje, z jakich adresów wolno wysyłać pocztę w imieniu danej firmy, dzięki czemu serwer odbierający potrafi porównać rzeczywisty adres nadawcy z ogłoszoną polityką. Weryfikacji podlega jednak nie ten adres, który użytkownik widzi w polu Od, lecz adres podany w kopercie w poleceniu MAIL FROM. Ta różnica sprawia, że sam wpis nie zatrzymuje podszywania się widocznego dla odbiorcy — potrzebna jest jeszcze polityka DMARC, która wymusza zgodność obu adresów.

Wdrożenie krok po kroku i moment przełączenia

Praktyka wygląda tak: najpierw powstaje spis wszystkich systemów wysyłających pocztę w imieniu firmy — serwer własny lub chmurowy, sklep internetowy, program do faktur, drukarka wielofunkcyjna skanująca na adres pracownika, narzędzie do kampanii. Potem publikuje się politykę w wariancie łagodnym, kończącym się tyldą, i przez kilka tygodni obserwuje raporty. Dopiero gdy nic legalnego nie wpada w wyniki niepowodzenia, zaostrza się zakończenie do wariantu twardego. Odwrotna kolejność — od razu ostro — kończy się telefonami z księgowości, że przelewy potwierdzające nie docierają do kontrahenta. Przy przenoszeniu poczty do innego dostawcy oba wpisy muszą przez chwilę współistnieć, inaczej w oknie migracji część korespondencji zostanie odrzucona.

Przekierowania, które łamią poprawną politykę

Największą słabością tego mechanizmu jest przekazywanie dalej. Gdy pracownik ustawi automatyczne przekierowanie ze skrzynki firmowej na prywatną, wiadomość dociera do celu z adresu serwera pośredniczącego, którego w polityce nadawcy oczywiście nie ma — i zostaje odrzucona lub oznaczona jako podejrzana. Częściowo ratuje to mechanizm przepisywania adresu koperty stosowany przez niektórych operatorów. Podobnie zachowują się listy dyskusyjne i formularze kontaktowe na stronach, które wysyłają wiadomość „w imieniu” osoby wypełniającej formularz zamiast we własnym imieniu z adresem zwrotnym w polu odpowiedzi. Osobna pułapka to skanery i kopiarki w biurze skonfigurowane na wysyłkę przez serwer operatora internetu — działają latami, dopóki ktoś nie zaostrzy polityki.

Przegląd konfiguracji poczty przed problemem, nie po nim

Zanim firma zauważy, że jej wiadomości lądują w folderze niechcianych, zwykle mija kilka tygodni cichej utraty korespondencji. Robimy przeglądy ustawień pocztowych razem z konfiguracją stanowisk, urządzeń wielofunkcyjnych i oprogramowania handlowego, które wysyła dokumenty do klientów. Jeśli sprzęt wymaga naszej obecności w pracowni, odbieramy go i odwozimy własnym transportem, bez korzystania z kurierów.