SPF policy agent

SPF policy agent to komponent serwera odbiorczego weryfikujący zgodność nadawcy z rekordem SPF domeny.

Rola SPF policy agentu w odbiorze poczty

SPF policy agent to komponent serwera odbiorczego, który sprawdza, czy host wysyłający wiadomość jest uprawniony do korzystania z adresu IP przypisanego do domeny użytej w kopercie SMTP. Podstawą weryfikacji jest rekord SPF opublikowany w systemie DNS dla domeny wskazanej w mechanizmie MAIL FROM, nazywanym także adresem koperty nadawcy. Agent pobiera ten rekord, interpretuje jego mechanizmy i porównuje je z adresem IP połączenia SMTP.

SPF nie analizuje przede wszystkim pola „From:” widocznego w programie pocztowym. Weryfikuje domenę z koperty SMTP, dlatego wynik kontroli może dotyczyć innej domeny niż ta wyświetlana odbiorcy. Znaczenie ma również parametr HELO lub EHLO. Jest on używany jako domena zastępcza wtedy, gdy wiadomość nie zawiera adresu koperty nadawcy, na przykład podczas określonych połączeń typu MAIL FROM:<>.

Jak agent interpretuje rekord SPF

Rekord SPF jest przechowywany w DNS jako rekord typu TXT. Typowa polityka może zawierać mechanizmy takie jak ip4, ip6, a, mx, include oraz zakończenie określające domyślny rezultat, na przykład -all albo ~all. SPF policy agent wykonuje te reguły w kolejności zapisanej w rekordzie. Gdy znajdzie mechanizm pasujący do adresu IP klienta, zwraca wynik związany z kwalifikatorem tego mechanizmu.

Rezultat pass oznacza, że adres IP spełnił autoryzującą regułę. Fail wskazuje na jawne odrzucenie przez politykę, softfail oznacza brak pełnego autoryzowania przy łagodniejszym oznaczeniu, a neutral informuje, że domena nie deklaruje rozstrzygnięcia. Agent może także zwrócić none, gdy dla sprawdzanej domeny nie ma rekordu SPF, temperror przy przejściowym błędzie DNS oraz permerror przy trwałym błędzie składni lub nieprawidłowej konfiguracji rekordu.

Wynik kontroli a decyzja serwera odbiorczego

SPF policy agent zwykle nie podejmuje samodzielnie pełnej decyzji o dostarczeniu wiadomości. Przekazuje rezultat innym elementom serwera pocztowego, takim jak moduł polityki SMTP, filtr antyspamowy lub mechanizm tworzący nagłówki uwierzytelniania. Administrator może skonfigurować reakcję zależną od wyniku: odrzucenie podczas sesji SMTP, oznaczenie wiadomości jako podejrzanej, skierowanie jej do kwarantanny albo przyjęcie do dalszej analizy.

Wynik SPF powinien być rozpatrywany razem z przebiegiem dostarczenia wiadomości. Przekazywanie poczty przez pośredni serwer może spowodować, że końcowy odbiorca zobaczy adres IP przekazującego hosta, a nie pierwotnego nadawcy. W takiej sytuacji SPF może zwrócić wynik negatywny mimo legalnego pochodzenia wiadomości. Stosuje się wtedy rozwiązania uwzględniające przekazywanie, takie jak modyfikacja ścieżki SMTP przez serwer pośredniczący albo mechanizm SRS, który przepisuje adres koperty tak, aby kontrola SPF mogła odnosić się do domeny przekazującej.

Agent musi również respektować ograniczenia i błędy DNS. Rekord SPF nie może prowadzić do nieograniczonego rozwijania mechanizmów include, a i mx; standard SPF określa limit dziesięciu wyszukiwań DNS dla mechanizmów i modyfikatorów wymagających zapytania. Przekroczenie tego limitu może zakończyć kontrolę wynikiem permerror. Nieprawidłowości mogą wynikać także z wielu rekordów SPF TXT dla jednej domeny, błędnej składni lub niedostępności serwera DNS.

Diagnostyka problemów z weryfikacją SPF

Podczas diagnozowania działania SPF policy agentu należy sprawdzić adres IP połączenia SMTP, domenę z komendy MAIL FROM, wartość HELO oraz dokładny rekord TXT odczytany dla tej domeny. Sam nagłówek „From:” nie wystarcza do odtworzenia decyzji agenta. W logach serwera warto szukać informacji o rezultacie SPF, użytym adresie IP, czasie odpowiedzi DNS, przekroczeniu limitu zapytań oraz błędach parsowania rekordu.

Przykładowe sprawdzenie rekordu można wykonać poleceniem nslookup -type=TXT example.com w systemie Windows albo dig TXT example.com w systemach uniksowych. Otrzymany rekord trzeba ocenić w kontekście rzeczywistych serwerów wysyłających pocztę, w tym bram pocztowych, usług transakcyjnych i systemów przekazujących wiadomości. Zmiana adresu IP nadawcy bez aktualizacji SPF może powodować wynik fail, natomiast zbyt szeroka reguła, na przykład autoryzująca dużą pulę adresów, osłabia wartość kontrolną polityki.

SPF nie szyfruje wiadomości i nie potwierdza samodzielnie, że treść nie została zmieniona. Nie zapewnia też pełnego powiązania domeny z nazwą widoczną w polu „From:”. Dlatego rezultat SPF jest jednym z elementów oceny wiadomości, a nie uniwersalnym dowodem wiarygodności nadawcy. Diagnostyka powinna obejmować także poprawność DNS, konfigurację serwera wysyłającego, zachowanie przekazywania oraz sposób, w jaki lokalny filtr interpretuje poszczególne rezultaty.