Stoppar er SPF-post förfalskning?

SPF listar vem som får skicka i er domäns namn.

SPF (RFC 7208) är en TXT-post på er domän som listar de servrar som får skicka e-post för den. Mottagaren jämför den avsändande servern med listan, från vänster till höger, och all i slutet avgör vad som gäller för alla andra. Det är till största delen slutet som kontrollen rapporterar:

Kontrollen tittar på tre saker: om det finns en SPF-post, om domänen har mer än en och hur posten slutar.

Fem utfall, varav fyra ger fynd.

Fynden står på engelska, så som TrustSek rapporterar dem i dag. Allvarlighetsgraden går från 0 till 100. +all bedöms allvarligast eftersom det godkänner alla servrar på internet samtidigt som posten ser konfigurerad ut. Utan all får mottagaren ingen instruktion, vilket i praktiken inte ger något skydd. Två SPF-poster på samma domän är ogiltigt: mottagaren får ett fel, och de flesta bortser då från SPF för domänen.

Avsluta posten med ~all eller -all.

• ~all passar de flesta domäner som skickar e-post. Servrar som inte står med får softfail, och DMARC fattar det slutliga beslutet.
• -all passar domäner som aldrig skickar e-post, och domäner där alla avsändare är kända.
• ?all ger inget fynd i kontrollen, men säger ingenting om andra servrar och skyddar inte bättre än en post utan all. Byt till ~all eller -all.

En parkerad domän som aldrig skickar e-post bör säga det:

example.org.  3600  IN  TXT  "v=spf1 -all"

En del behöver ni kontrollera själva.

• Gränsen på tio uppslag. RFC 7208 tillåter högst tio DNS-uppslag när en post utvärderas, inräknat varje include och allt i den. Den fullständiga kontrollen följer inte include och räknar inte uppslag, så en post över gränsen flaggas inte där. Uppslaget högst upp på sidan räknar dem, genom varje include; i guiden om SPF-posten ser ni hur ni håller er under tio.
• Att vara i linje. En tjänst kan klara SPF för sin egen returdomän och ändå fallera på DMARC för er. Kontrollen läser er post, inte hur varje avsändare använder den.
• En avläsning vid ett tillfälle, av den domän ni anger. Subdomäner som ni skickar från behöver egna poster.

Att det inte blir något fynd betyder att posten finns, inte är dubblerad och slutar på ett sätt som begränsar avsändarna. Det bevisar inte att alla legitima avsändare står med, eller att domänen inte går att förfalska.

SPF fungerar tillsammans med DMARC.

SPF talar om för mottagaren vilka servrar som får skicka. DMARC talar om vad mottagaren ska göra när ett meddelande inte klarar kontrollen, och kräver att SPF eller DKIM godkänns och är i linje med Från-adressen. Kontrollera båda: DMARC-kontrollen förklarar resultaten för DMARC, och guiden DMARC från p=none till p=reject, steg för steg tar er till en skarp policy.

SPF är en liten del av hela skanningen.

SPF är en del av modulen e-postsäkerhet, som också läser DMARC, DKIM, MTA-STS, TLS-rapportering, CAA, DNSSEC och redundanta namnservrar. Hela kontrollen omfattar alla sex modulerna i en skanning på ungefär 30 sekunder.

Metoden förklarar hur fynden blir en poäng.