SPF record

SPF record to wpis DNS wymieniający serwery uprawnione do wysyłki w imieniu domeny.

Składnia jednej linijki w strefie DNS

SPF record to zwykły rekord TXT umieszczony w korzeniu domeny, rozpoczynający się od wersji v=spf1 i złożony z mechanizmów rozdzielonych spacjami. Najczęściej używane to ip4 i ip6 wskazujące konkretny adres lub podsieć, a oraz mx odwołujące się do adresów wpisanych w tych rekordach domeny, oraz include przekazujące ocenę do polityki innego dostawcy. Każdy mechanizm może mieć kwalifikator: plus oznacza akceptację i jest domyślny, tylda daje wynik softfail, myślnik twardy fail, a znak zapytania stan neutralny. Ciąg zamyka się zwykle zapisem ~all lub -all, który określa, jak potraktować serwer nieujęty na liście. Kluczowa reguła brzmi: w jednej domenie może istnieć tylko jeden rekord w wersji spf1.

Limit dziesięciu odwołań i co z niego wynika

Specyfikacja nakazuje odbiorcy przerwać ocenę po dziesięciu zapytaniach DNS wywołanych przez mechanizmy include, a, mx, ptr i exists. Przekroczenie limitu daje wynik permerror, który wiele serwerów traktuje jak brak polityki, a niektóre wprost jak niepowodzenie. Problem pojawia się szybciej, niż się wydaje: firma korzystająca jednocześnie z chmurowej poczty, systemu do wysyłki newsletterów, narzędzia do faktur i formularza na stronie ma cztery wpisy include, z których każdy rozwija się wewnętrznie na kilka kolejnych. Rozwiązaniem jest zastąpienie części odwołań konkretnymi adresami ip4 albo skorzystanie z usługi spłaszczającej rekord. Mechanizm ptr jest przy tym uznany za przestarzały i nie powinien być używany.

Błędy widoczne dopiero po stronie odbiorcy

Najbardziej podstępny jest podwójny rekord: dwa wpisy TXT z v=spf1 w tej samej domenie dają permerror, choć każdy z osobna wygląda poprawnie. Zdarza się to po zmianie dostawcy poczty, gdy nikt nie usunął starej linii. Drugim klasykiem jest brak polityki dla subdomen — SPF nie dziedziczy się w dół, więc wysyłka z adresu w subdomenie wymaga własnego rekordu. Trzecim: zapis samego +all, otwierający domenę dla dowolnego nadawcy i czyniący cały wpis bezużytecznym. Kontrolę rekordu wykonuje się poleceniem nslookup -type=txt nazwa.domeny albo dig txt nazwa.domeny, co pozwala zobaczyć dokładnie ten sam ciąg, który widzi serwer odbiorcy.

Kiedy poprawka w DNS wymaga wsparcia z zewnątrz

Zmiany w strefie DNS działają natychmiast na całą firmę, a pomyłka potrafi zablokować wysyłkę faktur na wiele godzin, bo w grę wchodzi jeszcze czas życia wpisu w pamięci podręcznej serwerów. Analizujemy istniejące wpisy, składamy je w jeden poprawny rekord i sprawdzamy efekt na przesyłkach testowych. Obsługujemy przy tym firmy korzystające zarówno z hostingu współdzielonego, jak i z własnego serwera pocztowego.