RFC 7208

RFC 7208 to specyfikacja standardu SPF, opisująca sposób weryfikacji uprawnionych serwerów nadawczych.

RFC 7208 i rola standardu SPF

RFC 7208 opisuje mechanizm Sender Policy Framework (SPF), który pozwala właścicielowi domeny opublikować w systemie DNS informację o serwerach uprawnionych do wysyłania wiadomości z adresem nadawcy należącym do tej domeny. Specyfikacja definiuje sposób zapisania takiej polityki, jej odczytu oraz oceny przez serwer odbierający pocztę. SPF nie szyfruje wiadomości i nie potwierdza tożsamości osoby, która ją napisała. Jego zadaniem jest sprawdzenie, czy host nawiązujący połączenie SMTP może wysyłać pocztę dla określonej domeny.

Weryfikacja SPF dotyczy przede wszystkim adresu używanego w komendzie SMTP MAIL FROM, nazywanego także adresem koperty nadawcy. Specyfikacja przewiduje również sprawdzenie domeny użytej w komendzie HELO albo EHLO, gdy nie ma użytecznego adresu koperty lub gdy odbiorca stosuje tę dodatkową kontrolę. Jest to istotne, ponieważ adres widoczny w nagłówku From może być inny niż adres koperty analizowany przez SPF. Ochrona widocznego pola From wymaga mechanizmu DMARC, a nie samego SPF.

Rekord TXT i składnia polityki domeny

Polityka SPF jest publikowana w DNS jako rekord typu TXT. Jej wartość rozpoczyna się od identyfikatora v=spf1, który oznacza wersję SPF opisaną przez RFC 7208. Dalej mogą występować mechanizmy wskazujące dozwolone źródła, między innymi ip4, ip6, a, mx, include, exists oraz all. Przykładowy rekord v=spf1 ip4:203.0.113.10 -all wskazuje jeden adres IPv4 i określa, że inne adresy nie są uprawnione do wysyłania poczty dla tej domeny.

Każdy mechanizm może mieć kwalifikator określający wynik dopasowania. Znak plus oznacza wynik pass i jest domyślny, znak minus oznacza fail, tylda oznacza softfail, a znak zapytania oznacza neutral. Mechanizm ~all zwykle sygnalizuje, że pozostałe źródła nie powinny być uznawane za autoryzowane, ale odbiorca może potraktować taki wynik mniej stanowczo niż -all. Brak rekordu SPF daje wynik none, natomiast błędna składnia polityki może prowadzić do wyniku permerror.

Ocena nadawcy podczas połączenia SMTP

Serwer odbierający pobiera rekord SPF dla domeny nadawcy, a następnie ocenia mechanizmy w kolejności ich występowania. Mechanizm ip4 dopasowuje adres IPv4, a ip6 adres IPv6. Mechanizmy a i mx wymagają odpytywania DNS, ponieważ korzystają odpowiednio z adresów przypisanych do nazwy domeny albo z hostów wskazanych przez jej rekordy MX. include nakazuje sprawdzić politykę innej domeny, ale wynik zagnieżdżonego sprawdzenia jest interpretowany zgodnie z regułami SPF, a nie kopiowany bezpośrednio jako zwykłe dopasowanie.

RFC 7208 ogranicza liczbę operacji DNS wykonywanych podczas jednej oceny SPF do 10 dla mechanizmów i modyfikatorów powodujących wyszukiwanie DNS. Przekroczenie tego limitu skutkuje błędem tymczasowym lub trwałym zależnie od sytuacji i może spowodować, że wiadomość nie przejdzie weryfikacji. Z tego powodu rozbudowane rekordy z wieloma odwołaniami include, mechanizmami a i mx wymagają kontroli liczby zapytań. Rekord TXT może być podzielony przez DNS na kilka ciągów tekstowych, które odbiorca łączy zgodnie z zasadami obsługi rekordu.

Wynik SPF a praktyczna diagnostyka poczty

Wynik SPF jest przekazywany dalej między systemami pocztowymi w nagłówku Authentication-Results, a serwer może również zapisać go w nagłówku Received-SPF. Sam wynik pass nie oznacza, że wiadomość jest bezpieczna, wolna od złośliwego oprogramowania ani faktycznie wysłana przez człowieka lub organizację wskazaną w treści. Oznacza tylko, że adres IP klienta SMTP odpowiada polityce SPF dla analizowanej domeny. Wynik fail może być jednym z sygnałów używanych przez filtr antyspamowy, ale sposób dalszego traktowania wiadomości zależy od konfiguracji odbiorcy.

Przy diagnozowaniu problemów z dostarczaniem poczty trzeba porównać adres IP rzeczywistego nadawcy z rekordem TXT domeny, sprawdzić domenę MAIL FROM oraz ustalić, czy DNS zwraca dokładnie jeden rekord SPF. Publikowanie kilku niezależnych rekordów zaczynających się od v=spf1 powoduje niejednoznaczną konfigurację i może skutkować wynikiem permerror. Należy też uwzględnić przekierowania, rekordy include, adresację IPv6 oraz limit zapytań DNS. RFC 7208 opisuje wyłącznie autoryzację źródła na poziomie SPF; pełniejsza ocena zgodności domeny nadawcy wymaga osobnego uwzględnienia DKIM i DMARC.