RFC 7208 – SPF

RFC 7208 definiuje składnię rekordu DNS wskazującego serwery uprawnione do wysyłki w imieniu domeny.

SPF w systemie pocztowym i DNS

SPF, opisany w dokumencie RFC 7208, jest mechanizmem weryfikacji pochodzenia poczty elektronicznej. Jego konfiguracja opiera się na rekordzie TXT umieszczonym w strefie DNS domeny nadawcy. Rekord ten zawiera reguły określające, z jakich adresów IP, nazw hostów lub innych dozwolonych źródeł można wysyłać wiadomości z użyciem danej domeny w polu koperty SMTP. SPF nie szyfruje wiadomości i nie potwierdza tożsamości osoby, która ją napisała. Dostarcza odbiorcy informacji potrzebnej do oceny, czy połączenie SMTP pochodzi z autoryzowanego źródła.

Sprawdzany jest przede wszystkim adres użyty w komendzie SMTP MAIL FROM, nazywany także adresem koperty lub adresem Return-Path po dostarczeniu wiadomości. To istotne, ponieważ adres widoczny w nagłówku From może być inny. Wiadomość może więc przejść kontrolę SPF dla domeny koperty, a jednocześnie prezentować użytkownikowi inną domenę w polu nadawcy. Zgodność tych dwóch informacji jest zwykle analizowana przez DMARC, a nie przez sam SPF.

Odbiorca pobiera rekord SPF za pomocą zapytań DNS, a następnie porównuje adres IP nawiązującego połączenie nadawcy z opisanymi regułami. Wynik kontroli może być pozytywny, negatywny, niejednoznaczny albo wskazywać na brak możliwości wykonania oceny. Decyzja o przyjęciu, oznaczeniu lub odrzuceniu wiadomości należy do systemu odbiorcy. RFC 7208 definiuje sposób interpretacji reguł, lecz nie narzuca wszystkim operatorom jednakowej reakcji na każdy wynik.

Jak buduje się regułę i gdzie działa SPF

Rekord SPF rozpoczyna się od identyfikatora wersji, po którym występują mechanizmy dopasowujące źródło wysyłki. W praktyce stosuje się między innymi bezpośrednie wskazanie adresu IPv4 lub IPv6, odwołanie do rekordu innej domeny, wykorzystanie hostów wymienionych w rekordzie A albo delegowanie oceny do systemu pocztowego wskazanego rekordem MX. Na końcu można umieścić kwalifikator określający skutek dopasowania, na przykład pozytywną autoryzację, miękkie oznaczenie, neutralność lub odrzucenie.

Mechanizm include nie oznacza prostego dołączenia tekstu do jednego rekordu. Powoduje uruchomienie osobnej oceny SPF dla wskazanej domeny i uznanie dopasowania zgodnie z wynikiem tej oceny. Jest często używany przez dostawców usług wysyłkowych, którzy publikują własne zakresy adresów. Każde takie odwołanie zwiększa jednak złożoność konfiguracji i może doprowadzić do przekroczenia limitu zapytań DNS przewidzianego przez standard. Dlatego rekord powinien być projektowany z uwzględnieniem liczby odwołań, przekierowań i mechanizmów wymagających dalszych zapytań.

SPF nie jest mechanizmem podpisu kryptograficznego. Nie zabezpiecza treści wiadomości przed zmianą w drodze do odbiorcy i nie pozostawia podpisu możliwego do zweryfikowania po przekazaniu poczty dalej. Problem pojawia się przy przekazywaniu wiadomości przez pośrednika, ponieważ odbiorca może zobaczyć adres IP pośrednika, którego nie ma w pierwotnej regule domeny. Do innych celów stosuje się DKIM, który podpisuje wybrane elementy wiadomości, oraz DMARC, który wiąże wyniki kontroli z domeną widoczną dla odbiorcy i określa politykę postępowania.

W domenie nie powinno się publikować kilku niezależnych rekordów SPF. Odbiorca oczekuje jednej logicznej polityki, dlatego wpisy pochodzące od kilku dostawców należy połączyć w jeden rekord TXT. Trzeba też pamiętać, że DNS może przechowywać długi tekst w kilku segmentach, lecz sposób zapisu w panelu administracyjnym zależy od używanego oprogramowania. Przypadkowe pozostawienie dodatkowego rekordu lub błędne rozdzielenie składni może skutkować wynikiem permerror.

Diagnostyka odrzuceń i niezgodności

Najczęstszą przyczyną wyniku fail jest wysyłka z adresu IP, którego nie uwzględnia opublikowana polityka. Może to dotyczyć zmiany dostawcy poczty, dodatkowego narzędzia do newsletterów, formularza kontaktowego albo aplikacji działającej na komputerze użytkownika. Sama obecność domeny w nagłówku From nie oznacza jeszcze, że źródło zostanie zaakceptowane przez SPF. Do diagnozy potrzebne są pełne nagłówki wiadomości oraz informacja o tym, jaki adres koperty został użyty podczas wysyłki.

Wynik temperror wskazuje na przejściowy problem podczas odpytywania DNS, na przykład brak odpowiedzi, przekroczenie czasu lub niedostępność zależnego rekordu. Nie powinno się go traktować tak samo jak trwałego braku autoryzacji. Z kolei none może oznaczać, że dla badanej domeny nie znaleziono prawidłowej polityki SPF. Błąd składni lub wiele rekordów SPF prowadzi do problemu konfiguracyjnego, którego nie rozwiąże ponowne wysłanie wiadomości.

Problemy powodują także zbyt szerokie reguły, nieaktualne zakresy adresów oraz odwołania do domen dostawców, którzy zmienili własną infrastrukturę. Użycie mechanizmu all z kwalifikatorem odrzucającym powinno nastąpić dopiero po zinwentaryzowaniu wszystkich legalnych źródeł poczty. W przeciwnym razie prawidłowe wiadomości mogą zostać odrzucone po zmianie trasy wysyłki. Test należy wykonywać z kilku niezależnych narzędzi DNS i porównywać go z rzeczywistymi nagłówkami otrzymanych wiadomości.

SPF nie zatrzymuje każdej próby podszycia się pod domenę. Atakujący może wysyłać pocztę z własnej domeny, która przejdzie jej własną kontrolę SPF, a następnie użyć cudzej domeny jedynie w widocznym polu From. Dlatego przy ochronie domeny pocztowej warto analizować razem SPF, DKIM i DMARC. Należy również sprawdzić, czy rekordy DNS są publikowane przez właściwą strefę i czy zmiany zdążyły rozpropagować się zgodnie z czasem TTL.

Co można sprawdzić na komputerze i kiedy potrzebna jest pomoc techniczna

Warszawskie Pogotowie Komputerowe zajmuje się fizyczną naprawą laptopów, komputerów stacjonarnych, płyt głównych, dysków, pamięci, układów zasilania, matryc i klawiatur oraz podstawowym odzyskiem danych z uszkodzonych nośników. W związku z tym przy problemie z SPF można przede wszystkim sprawdzić komputer, z którego wysyłana jest poczta: połączenie z siecią, działanie programu pocztowego, poprawność ustawień konta i obecność niepożądanych aplikacji.

Warto zgłosić urządzenie do diagnostyki, gdy wiadomości z laptopa lub komputera nie wychodzą, program zgłasza błędy SMTP, połączenie jest zrywane albo system zachowuje się nietypowo podczas wysyłania poczty. Przydatne są komunikat błędu, przykładowe nagłówki wiadomości, nazwa używanego programu oraz informacja, czy problem występuje na jednym urządzeniu, czy na wszystkich. Takie dane pomagają rozdzielić awarię sprzętu lub lokalnej konfiguracji od błędu polityki DNS domeny.

Jeżeli komputer działa poprawnie, lecz odbiorcy nadal odrzucają wiadomości z powodu SPF, potrzebna jest kontrola rekordu DNS i konfiguracji wszystkich legalnych źródeł wysyłki przez administratora domeny lub dostawcę poczty. Serwis sprzętowy może potwierdzić stan urządzenia i jego oprogramowania, ale sama zmiana polityki SPF wymaga dostępu do panelu DNS albo systemu zarządzania domeną. Rozdzielenie tych obszarów przyspiesza diagnozę i ogranicza ryzyko wprowadzania zmian w niewłaściwym miejscu.