wiadomości odrzucane przez filtr SPF softfail

Wiadomości odrzucane mimo softfail SPF wskazują na dodatkowe, bardziej restrykcyjne reguły filtrujące odbiorcy.

Co oznacza wynik SPF softfail

SPF, czyli Sender Policy Framework, jest mechanizmem publikowania w DNS informacji o tym, jakie serwery mogą wysyłać wiadomości w imieniu domeny wskazanej w kopercie SMTP. Serwer odbiorcy sprawdza adres IP klienta SMTP względem rekordu SPF domeny użytej podczas komendy MAIL FROM. Wynik softfail oznacza, że adres IP nie pasuje do opublikowanej polityki, ale właściciel domeny nie zażądał jednoznacznego odrzucenia takiej wiadomości. W rekordzie SPF odpowiada za to kwalifikator tyldy, zapisany jako ~all.

Softfail nie jest równoznaczny z potwierdzeniem fałszerstwa ani z akceptacją wiadomości. Oznacza jedynie, że mechanizm SPF dostarczył odbiorcy sygnał o niezgodności, pozostawiając decyzję lokalnym regułom. Serwer przyjmujący może wiadomość zaakceptować, oznaczyć ją jako podejrzaną, umieścić w folderze spamu albo odrzucić. Dlatego komunikat o odrzuceniu wiadomości przy wyniku softfail wskazuje na działanie dodatkowej polityki odbiorcy, a nie na to, że sam kwalifikator ~all nakazuje odrzucenie.

Dlaczego odbiorca może odrzucić taką wiadomość

Decyzja serwera odbiorcy zwykle powstaje z połączenia wielu sygnałów. SPF softfail może zostać zestawiony z reputacją adresu IP, historią domeny, wynikami list blokad, częstotliwością wysyłki, poprawnością odwrotnego DNS oraz zgodnością danych w nagłówkach. Znaczenie może mieć także wynik DKIM, czyli weryfikacja podpisu kryptograficznego wiadomości, oraz rezultat DMARC, który porównuje domenę z koperty SMTP z domeną widoczną w nagłówku From. Jeżeli kilka kontroli wskazuje na ryzyko, system antyspamowy może zastosować twardą regułę odrzucenia mimo łagodnego wyniku SPF.

Odrzucenie może nastąpić na różnych etapach. Serwer może zakończyć sesję kodem SMTP klasy 550 lub 5xx już po komendzie MAIL FROM, gdy ocena nadawcy jest wykonywana przed przyjęciem treści. Może też przyjąć wiadomość, a następnie odrzucić ją podczas analizy zawartości, chociaż w takim przypadku informacja o SPF jest tylko jednym z elementów oceny. Treść odpowiedzi SMTP powinna zawierać kod rozszerzony, na przykład z grupy 5.7.x, oraz opis przyczyny. Samo słowo „softfail” nie wystarcza do ustalenia, która reguła przesądziła o blokadzie.

Sprawdzanie rekordu i ścieżki wysyłki

W pierwszej kolejności należy ustalić, jaka domena została użyta w kopercie SMTP, ponieważ to ona jest oceniana przez SPF. Nie zawsze jest identyczna z adresem widocznym dla odbiorcy w nagłówku From. Następnie trzeba odczytać aktualny rekord TXT tej domeny i sprawdzić, czy obejmuje rzeczywisty adres IP serwera wysyłającego. W rekordzie mogą występować mechanizmy ip4, ip6, a, mx oraz include. Każdy z nich może zmieniać końcowy wynik, a rekord musi zawierać tylko jedną politykę SPF zaczynającą się od v=spf1.

Warto prześledzić pełną drogę wiadomości, zwłaszcza gdy poczta jest wysyłana przez dostawcę zewnętrznego, bramę SMTP, system formularzy albo aplikację działającą na innym serwerze. Rekord SPF powinien obejmować faktycznych nadawców, a nie wyłącznie komputer używany do tworzenia wiadomości. Należy również sprawdzić, czy zapytania DNS nie są blokowane, czy rekord nie zawiera błędów składni oraz czy liczba odwołań DNS pozostaje w limicie określonym dla SPF. Przekroczenie limitu dziesięciu mechanizmów i modyfikatorów powodujących wyszukiwanie DNS może prowadzić do wyniku permerror, niezależnego od wcześniejszego softfail.

Interpretacja komunikatu i dalsze kroki

Do diagnozy potrzebny jest pełny zwrotny komunikat SMTP, nagłówki wiadomości oraz informacja o czasie wystąpienia problemu. Należy odróżnić odrzucenie podczas transmisji od późniejszego dostarczenia do spamu. W odpowiedzi serwera warto znaleźć kod główny, kod rozszerzony, nazwę systemu odbiorczego i identyfikator reguły. Pomocne są także nagłówki typu Authentication-Results, w których serwer może zapisać wyniki spf, dkim i dmarc. Ich interpretacja wymaga uwzględnienia serwera, który je wystawił, ponieważ nagłówki mogą być modyfikowane przez kolejne przekaźniki.

Jeżeli rekord SPF jest nieaktualny, należy skorygować go po stronie właściciela domeny i uwzględnić wszystkie legalne ścieżki wysyłki. Nie należy automatycznie zastępować ~all kwalifikatorem -all, ponieważ zmiana oznacza żądanie odrzucania adresów spoza polityki i może zablokować prawidłową pocztę, gdy lista nadawców jest niepełna. Równie ważne jest sprawdzenie DKIM, zgodności domen w DMARC oraz konfiguracji aplikacji wysyłającej. Gdy rekord jest poprawny, a wiadomości nadal są odrzucane, przyczyną może być lokalna polityka antyspamowa odbiorcy i wtedy potrzebny jest kontakt z administratorem tego systemu wraz z pełnym komunikatem SMTP.