Dokumentacija

Popravite SPF

Popravite SPF

SPF je en zapis TXT na vaši domeni, ki našteje strežnike, ki smejo pošiljati pošto kot @example.com. Brez njega lahko vsakdo vpiše vašo domeno v polje From in prejemni strežniki vašega računa ne ločijo od lažne kopije za ribarjenje. Gmail, Yahoo in Outlook.com pošto brez veljavnega SPF ali DKIM vse pogosteje pošljejo med vsiljeno, zato manjkajoč zapis ni le varnostna težava: stane vas odgovore in naročila.

Kontrolni seznam strani to postavko označi kot napako v treh primerih: zapisa SPF ni, zapisa SPF sta dva ali se zapis konča z +all.

Kako izgleda pravilen zapis

Domena ima natanko en zapis TXT, ki se začne z v=spf1. Našteje vse storitve, ki pošiljajo pošto za vas, in se konča s pravilom za vse ostale:

Tip Ime Vrednost TTL
TXT @ (example.com) v=spf1 include:_spf.google.com ~all 3600
Del Pomen
v=spf1 to je zapis SPF; biti mora na začetku
include:_spf.google.com dovoli strežnike, ki jih našteje ta storitev (tu Google Workspace)
ip4:192.0.2.10, a, mx dovoli en naslov, zapis A domene ali njene poštne strežnike
~all vse ostalo je sumljivo (soft fail): običajen, varen konec
-all vse ostalo se zavrne (hard fail): uporabite ga, ko ste prepričani, da je seznam popoln
+all vse ostalo je dovoljeno: enako, kot da SPF ni, le še slabše, ker izgleda urejeno

+a in +mx sta v redu: + je samo privzeti kvalifikator. Težava je le +all.

Tri napake in kaj pomenijo:

  • Zapisa ni. Dodajte ga s storitvami, prek katerih res pošiljate (glejte spodaj).
  • Dva zapisa. To se zgodi, ko vas druga storitev prosi, da "dodate zapis SPF", in ga dodate poleg starega. Standard tedaj od prejemnikov zahteva, da SPF obravnavajo kot pokvarjen, zato se prezreta oba. Združite ju v enega: en v=spf1, vsi deli include: in en all na koncu.
  • +all. Zamenjajte ga z ~all.

Pogoste vrednosti include

Pošto pošiljate prek Dodajte
Google Workspace (Gmail) include:_spf.google.com
Microsoft 365 (Outlook) include:spf.protection.outlook.com
vašega gostovanja (cPanel, Plesk, DirectAdmin) a mx ali ip4: z naslovom strežnika, kot predlaga nadzorna plošča
SendGrid include:sendgrid.net
Brevo include:spf.brevo.com
Mailchimp, CRM, sistem za podporo, spletna trgovina vrednost s strani te storitve za DNS ali overitev domene

Ne pozabite na samo spletno stran: kontaktni obrazci in e-pošta naročil WooCommerce pogosto odidejo s spletnega strežnika, ne od ponudnika vaših poštnih predalov.

Združeni Google Workspace, gostovanje in SendGrid dajo:

v=spf1 include:_spf.google.com include:sendgrid.net a mx ~all

Opozorilo: SPF dovoli največ 10 poizvedb DNS. Šteje vsak include, a, mx, exists in redirect, pa tudi vsi includi znotraj vsakega includa. Nad 10 cel zapis pri vseh prejemnikih odpove (permerror). Preden dodate novo storitev, odstranite tiste, ki jih ne uporabljate več, za lastne strežnike s fiksnim naslovom pa raje uporabite ip4:.

Domena, ki ne pošilja pošte

Domena, ki gosti samo spletno stran (ali parkirana domena), naj to pove, da je nihče ne more zlorabiti za ribarjenje:

Tip Ime Vrednost TTL
TXT @ v=spf1 -all 3600

Če domena nima zapisov MX in nima SPF, kontrolni seznam SPF označi kot neuporaben, a ta zapis ime vseeno zaščiti.

Preverite sami

Namesto example.com vpišite svojo domeno:

dig +short TXT example.com | grep -i 'v=spf1'

V sistemu Windows:

nslookup -type=TXT example.com

Popravljeno pomeni natanko eno vrstico, ki se začne z "v=spf1 in konča z ~all ali -all. Dve vrstici z v=spf1 pomenita dva zapisa.

Kako popraviti

SPF je v DNS-u, zato ga spremenite tam, kjer gostuje DNS domene, kar ni vedno tam, kjer sta pošta ali spletna stran. Če niste prepričani, dig +short NS example.com izpiše imenske strežnike: *.ns.cloudflare.com pomeni Cloudflare, ime ponudnika gostovanja pomeni vašo nadzorno ploščo, sicer je to običajno registrar.

Google Workspace

Google Workspace vašega DNS-a ne ureja. Zapis TXT dodajte ali spremenite pri ponudniku DNS (glejte njegov zavihek):

Tip Ime Vrednost TTL
TXT @ v=spf1 include:_spf.google.com ~all 3600

Če ima zapis SPF že druga storitev, ne dodajte drugega: include:_spf.google.com vstavite v obstoječi zapis, pred del all.

V Google Admin console je Apps → Google Workspace → Gmail → Authenticate email namenjen DKIM-u, ne SPF-u. Tam nastavite še DKIM: glejte Nastavite DKIM.

Microsoft 365

Microsoft 365 potrebuje ta zapis pri vašem ponudniku DNS:

Tip Ime Vrednost TTL
TXT @ v=spf1 include:spf.protection.outlook.com -all 3600

Microsoft predlaga -all; ~all je v redu, dokler še preverjate, katere druge storitve pošiljajo pošto za vas. Če domeno upravlja Microsoft (nastavili ste jo v Microsoft 365 admin center pod Settings → Domains in DNS prepustili Microsoftu), je zapis že tam; domeno odprite tam in preverite DNS records.

Če pošiljate tudi prek gostovanja ali orodja za e-novice, njihove dele združite v ta en zapis.

cPanel

  1. Odprite Email → Email Deliverability.
  2. Poiščite domeno. Če SPF kaže težavo, kliknite Manage.
  3. cPanel pokaže predlagani zapis, sestavljen iz naslova vašega strežnika. Če vsa pošta odhaja prek tega strežnika, kliknite Install the Suggested Record.

Predlagani zapis pozna samo ta strežnik. Če pošiljate tudi prek Google Workspace, Microsoft 365 ali storitve za e-novice, zapis uredite ročno (spodaj) in njihove dele include: ohranite.

Če DNS domene gostuje drugje (Cloudflare, registrar), ga cPanel ne more spremeniti: predlagano vrednost kopirajte in jo dodajte pri ponudniku DNS.

Ročno urejanje: Domains → Zone Editor → Manage ob domeni, filtrirajte po TXT in uredite vrstico, ki se začne z v=spf1. Če sta dve, ju združite v eno in drugo izbrišite.

Plesk

Plesk SPF ustvari iz svoje predloge DNS, običajno v=spf1 +a +mx +a:server.example.net -all. Ta zapis je v redu, dokler vsa pošta odhaja prek strežnika Plesk.

Sprememba: Websites & Domains → example.com → Hosting & DNS → DNS (v starejših različicah DNS Settings). Poiščite zapis TXT za example.com., ki se začne z v=spf1, ga kliknite, uredite vrednost in kliknite OK, nato Update, če Plesk zahteva uveljavitev sprememb.

Če pošiljate tudi prek Google Workspace ali Microsoft 365, v ta zapis dodajte njihov del include:. Ne dodajajte drugega zapisa TXT z v=spf1.

Če domena uporablja zunanji DNS (Cloudflare, registrar), DNS v Plesku ni tisti, ki ga vidi svet: zapis uredite tam.

DirectAdmin

Account Manager → DNS Management, izberite domeno. DirectAdmin običajno ustvari zapis, kot je v=spf1 a mx ip4:203.0.113.10 ~all.

Uredite ta zapis TXT, dodajte dele include: drugih storitev, ki pošiljajo za vas, in shranite. Če sta dva zapisa v=spf1, ju združite in enega izbrišite.

Če DNS Management manjka, DNS za vas upravlja ponudnik gostovanja: pošljite mu zapis, ki ga želite.

Cloudflare

  1. Odprite domeno in pojdite na DNS → Records.
  2. Filtrirajte po TXT in poiščite vrednosti, ki se začnejo z v=spf1.
  3. Če ga ni, Add record: tip TXT, ime @, vsebina npr. v=spf1 include:_spf.google.com ~all, TTL Auto, Save.
  4. Če sta dva, enega uredite tako, da vsebuje vse dele, drugega pa izbrišite.

Če uporabljate Cloudflare Email Routing, ta doda include:_spf.mx.cloudflare.net. Hkratno pošiljanje prek Gmaila ali druge storitve je pogost vzrok za dva zapisa SPF: združite ju v enega.

Zapisi TXT niso nikoli posredovani (proxied), zato oranžni oblaček tu nima vloge.

Ponudnik DNS

Pri registrarju ali ponudniku DNS odprite cono DNS domene ter dodajte ali uredite en zapis TXT:

Tip Ime / Host Vrednost TTL
TXT @ (ali prazno ali example.com.) v=spf1 include:_spf.google.com ~all 3600

Kako se ime zapiše, se med ponudniki razlikuje: nekateri želijo @, drugi pustijo polje prazno, tretji pokažejo polno ime. Če vpišete example.com in ponudnik sam doda domeno, dobite example.com.example.com. Po spremembi preverite z dig.

Nekateri ponudniki vrednost sami ovijejo v narekovaje, drugi pričakujejo, da jih vpišete vi. Kakor koli, dig jo mora pokazati enkrat, v enem paru narekovajev.

Koliko časa traja

Spremenjen zapis TXT je viden, ko stari poteče iz predpomnilnikov, običajno v času TTL (pogosto ura, včasih do dneva). Pošta, poslana medtem, se preveri proti različici, ki jo ima prejemnik v predpomnilniku.

Potrdite popravek

Znova poženite ukaz dig iz razdelka Preverite sami, nato v PulseKeeperju odprite tarčo in na zavihku Kontrolni seznam kliknite Preveri zdaj. Postavka se v nekaj minutah obarva OK, ne šele ob naslednjem dnevnem preverjanju.

SPF sam ne prepreči ponarejanja vašega naslova From. Naslednja koraka sta DKIM in DMARC.