SPF neutral

SPF neutral to wynik weryfikacji niepotwierdzający ani niewykluczający uprawnienia serwera do wysyłki.

Znaczenie wyniku SPF neutral

SPF neutral jest wynikiem mechanizmu Sender Policy Framework, który oznacza, że opublikowana polityka domeny nie potwierdza, ale też nie wyklucza uprawnienia serwera do wysłania wiadomości. Odbiorca otrzymuje więc informację niewystarczającą do uznania nadawcy za autoryzowanego lub nieautoryzowanego. Taki rezultat nie jest równoznaczny z pozytywnym potwierdzeniem autentyczności wiadomości i nie stanowi samodzielnej podstawy do uznania jej za zaufaną.

Wynik neutral jest jednym z rezultatów opisanych dla SPF obok pass, fail, softfail, none, temperror i permerror. Dotyczy oceny adresu IP systemu, który nawiązał połączenie SMTP, względem domeny użytej do sprawdzenia SPF. Sam wynik nie rozstrzyga, czy wiadomość jest spamem, próbą oszustwa albo prawidłową korespondencją. SPF sprawdza określony element ścieżki nadawczej, a nie całą zawartość wiadomości ani tożsamość osoby, która ją wysłała.

Jak polityka domeny prowadzi do neutral

W rekordzie SPF wynik neutral jest wyrażany kwalifikatorem znaku zapytania, czyli mechanizmem takim jak ?all. Przykładowy rekord v=spf1 ?all informuje odbiorcę, że dla adresów niepasujących do wcześniejszych mechanizmów domena nie deklaruje ani autoryzacji, ani braku autoryzacji. W praktycznej konfiguracji przed ?all mogą znajdować się mechanizmy wskazujące wybrane adresy IP, zakresy sieci, rekordy A lub MX, a także odwołania include. Neutralny wynik odnosi się do przypadku, w którym sprawdzany adres nie spełnił wcześniejszego mechanizmu, lecz końcowy kwalifikator nie nakazuje odrzucenia wiadomości.

Znaczenie ma również domena, dla której wykonano sprawdzenie. W typowym przepływie pocztowym SPF wykorzystuje domenę z koperty SMTP, przekazaną w komendzie MAIL FROM, a gdy koperta nie zawiera adresu nadawcy, domenę z komendy HELO lub EHLO. Ta domena może różnić się od adresu widocznego w nagłówku From:. Z tego powodu neutralny rezultat SPF nie musi oznaczać, że domena wyświetlana użytkownikowi nie ma żadnej polityki; może dotyczyć innej domeny użytej w kopercie SMTP.

Wpływ na dostarczanie wiadomości

SPF neutral nie nakazuje serwerowi odbiorczemu ani przyjęcia, ani odrzucenia wiadomości. System odbiorcy może kontynuować analizę, uwzględniając między innymi reputację adresu IP, zawartość wiadomości, wynik DKIM oraz zgodność domen w ramach DMARC. W przeciwieństwie do wyniku fail, neutral nie zawiera deklaracji, że serwer nadawczy jest nieuprawniony. Nie powinien jednak być interpretowany jako równoważny wynikowi pass, ponieważ domena nie potwierdziła prawa tego serwera do wysyłki.

Jeżeli domena ma wiele rekordów TXT zaczynających się od v=spf1, sprawdzenie SPF może zakończyć się błędem permanentnym, ponieważ dla jednej domeny powinna obowiązywać jedna polityka SPF. Neutral może też wynikać z celowej, słabo restrykcyjnej konfiguracji, na przykład z użycia ?all bez końcowej deklaracji odrzucającej. Właściciel domeny, który chce jednoznacznie ograniczyć wysyłkę do wskazanych systemów, zwykle rozważa odpowiednią politykę końcową, taką jak ~all albo -all, po sprawdzeniu kompletności listy legalnych nadawców.

Diagnostyka komunikatu SPF neutral

Analizę należy rozpocząć od ustalenia domeny ocenianej przez SPF, adresu IP klienta SMTP oraz pełnego rekordu TXT tej domeny. Warto sprawdzić, czy rekord zawiera kwalifikator ?, czy używa mechanizmu all i czy wcześniejsze mechanizmy obejmują usługę, która faktycznie wysłała wiadomość. Trzeba również uwzględnić przekierowania i odwołania include, ponieważ zmiana dostawcy poczty lub bramki wysyłającej może pozostawić rekord niezgodny z rzeczywistą topologią systemu.

Sam nagłówek z wynikiem SPF nie wystarcza do oceny całej wiadomości. Należy porównać rezultat z wynikami DKIM i DMARC, sprawdzić domenę widoczną w nagłówku From: oraz ustalić, czy serwer odbiorczy zastosował własną politykę filtrowania. Przy diagnostyce lokalnego komputera lub programu pocztowego przydatne jest rozróżnienie problemu z wysyłką od problemu z reputacją domeny: neutral jest odpowiedzią opublikowanej polityki SPF, a nie komunikatem o awarii laptopa, uszkodzeniu skrzynki ani błędzie samego protokołu SMTP. Prawidłowa naprawa konfiguracji wymaga zmiany rekordu DNS lub ustawień używanego systemu wysyłkowego przez administratora domeny.