SPF softfail

SPF softfail to wynik sugerujący, że nadawca prawdopodobnie nie jest uprawniony, lecz bez pełnego odrzucenia wiadomości.

Jak powstaje wynik SPF softfail

SPF softfail jest wynikiem oceny rekordu Sender Policy Framework, czyli mechanizmu zapisanego w DNS domeny nadawcy. SPF sprawdza, czy adres IP serwera wysyłającego wiadomość znajduje się na liście serwerów uprawnionych do wysyłania poczty dla danej domeny. Wynik softfail oznacza, że adres IP nie spełnił żadnego uprawnienia określonego w rekordzie SPF, a właściciel domeny zastosował kwalifikator tyldy, zapisany jako ~. Najczęściej występuje on przy mechanizmie końcowym ~all.

Przykładowy rekord może mieć postać v=spf1 ip4:192.0.2.10 ~all. Oznacza to, że adres IPv4 192.0.2.10 jest wskazany jako dozwolony, natomiast pozostałe adresy otrzymają wynik softfail. Sam zapis ~all nie oznacza automatycznego odrzucenia wiadomości. Jest sygnałem dla serwera odbiorczego, że wiadomość prawdopodobnie pochodzi z nieuprawnionego źródła, lecz decyzja o przyjęciu, oznaczeniu jako spam albo odrzuceniu zależy od lokalnej polityki odbiorcy.

Różnica między softfail, fail i neutral

Wynik softfail należy odróżnić od SPF fail, który jest zwykle oznaczany kwalifikatorem minus, na przykład -all. Kwalifikator -all wskazuje, że domena jednoznacznie określa pozostałe adresy IP jako nieuprawnione. Kwalifikator tyldy, czyli ~all, przekazuje słabszą deklarację: wiadomość nie pasuje do listy autoryzowanych źródeł, ale domena nie żąda bezwarunkowego odrzucenia.

Istnieją także inne wyniki SPF. Kwalifikator plus, jawny albo domyślny, oznacza pass, czyli pozytywne dopasowanie do reguły. Znak zapytania, używany jako ?all, daje wynik neutral i oznacza brak wyraźnego stanowiska domeny. W praktyce softfail może pojawić się podczas stopniowego wdrażania SPF, gdy administrator chce obserwować skutki błędnej konfiguracji przed użyciem bardziej restrykcyjnego -all. Nie jest jednak dowodem, że wiadomość na pewno jest oszustwem, ponieważ przyczyną może być również niepełny rekord SPF albo pominięty dostawca wysyłający pocztę w imieniu domeny.

Zakres kontroli i interpretacja przez serwer pocztowy

SPF ocenia przede wszystkim domenę używaną w kopercie SMTP, zwykle pochodzącą z adresu envelope-from albo ścieżki MAIL FROM. Nie jest tożsamy z adresem widocznym w polu From: wyświetlanym użytkownikowi w programie pocztowym. Wiadomość może więc mieć poprawny technicznie wynik SPF dla jednej domeny, a jednocześnie prezentować w polu From: inną domenę. Z tego powodu SPF samodzielnie nie potwierdza pełnej zgodności widocznego nadawcy z serwerem wysyłającym.

Jeżeli wiadomość nie zawiera adresu nadawcy w SMTP, na przykład podczas komunikatu zwrotnego, serwer odbiorczy może przeprowadzić ocenę SPF względem domeny użytej w komendzie HELO albo EHLO. Szczegółowa interpretacja zależy od przebiegu sesji SMTP, rekordów DNS i implementacji serwera. Softfail jest jednym z sygnałów wykorzystywanych przy filtrowaniu poczty, ale nie zastępuje mechanizmów DKIM i DMARC. DKIM sprawdza podpis kryptograficzny nagłówków i treści, natomiast DMARC porównuje domenę widoczną dla odbiorcy z wynikami SPF lub DKIM.

Sprawdzenie przyczyny softfail na komputerze

Przy analizie wiadomości z wynikiem SPF softfail należy sprawdzić pełne nagłówki oraz ustalić, jaki adres IP został oceniony i jaka domena została użyta w kontroli. W nagłówku Received-SPF albo w polu Authentication-Results może znajdować się informacja o wyniku, domenie, adresie klienta SMTP i zastosowanej regule. Następnie należy porównać ten adres z rekordem TXT SPF opublikowanym dla właściwej domeny. Weryfikacja powinna obejmować także przekierowania poczty, zewnętrzne platformy wysyłkowe oraz rekordy include, ponieważ pominięcie jednego używanego dostawcy często prowadzi do softfail.

Podczas diagnostyki trzeba uważać na kilka typowych problemów: więcej niż jeden rekord SPF dla tej samej domeny, błędną składnię, nieaktualny adres serwera, brak obsługi używanego zakresu IPv6 albo zbyt rozbudowane zagnieżdżenia mechanizmów wymagających zapytań DNS. Standard SPF ogranicza liczbę zapytań DNS wywoływanych przez mechanizmy i modyfikatory do 10 podczas jednej oceny. Zmiana ~all na -all nie powinna być wykonywana wyłącznie na podstawie pojedynczej wiadomości; najpierw trzeba potwierdzić, że wszystkie legalne źródła wysyłki są ujęte w rekordzie. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów i komputerów PC oraz diagnostykę problemów z ich oprogramowaniem, w tym z konfiguracją programów pocztowych działających na komputerze.