Как провайдер хостинга, мы отправляем электронную почту от имени наших клиентов, поэтому мы помогаем им настроить записи электронной почты DKIM и SPF в их DNS, чтобы обеспечить правильную доставку электронной почты. Мы советуем им использовать http://mail-tester.com, чтобы проверить, что они ничего не пропустили, и мне очень нравится этот инструмент.
Одна проблема, с которой мы сталкивались несколько раз, и я не уверен в этом, - это ограничение DNS для записи SPF, основанное на доменном имени. Итак, если у вас есть это:
v=spf1 a include:aspmx.googlemail.com include:campaignmonitor.com include:authsmtp.com include:mail.zendesk.com include:salesforce.com include:_hostedspf.discourse.org ~all
Ты получишь
example.com ... campaignmonitor.com: Maximum DNS-interactive term limit (10) exceeded
Вот так:
У меня есть несколько вопросов по этому поводу.
Я насчитал здесь шесть доменных имен, а не 10, так почему же он обращается к «десяти» DNS-запросам здесь?Здесь ответилиЯвляется ли этот интерактивный термин 10 DNS предел предупреждением или реальной ошибкой? например, мы должны заботиться? Это немного раздражает наших клиентов, и они обращаются к нам за поддержкой.Ответили здесьЯвляется ли это ограничение 10 интерактивных DNS реальной проблемой в современной сети? Как видите, у этого клиента есть множество служб, отправляющих ему электронную почту, и все они являются законными. Возможно, этот лимит DNS был установлен в 2000 году, когда такие почтовые сервисы не были распространены?
Да, мы можем предложить нашим клиентам изменить IP-адреса в записи SPF, но это ставит нас в тупик, если мы когда-либо изменим IP-адреса, куча клиентов сломается. На самом деле не хочу этого делать ..
Какие есть обходные пути для этого?
источник
Ответы:
В основном уже ответили, пожалуйста, обратите внимание, в том числе Google, это неправильно - вы хотите использовать
_spf.google.comили понести штраф за перенаправление:Этот поиск будет потреблять 5/10 все самостоятельно - 4/10 все еще отстой, но на 20% меньше.
Он остановит обработку и вернет постоянную ошибку - это зависит от двигателя, использующего SPF, чтобы решить, как он хочет обработать постоянную ошибку.
Да - без ограничений обработки механизмы SPF могут использоваться в качестве усилителя DoS против третьей стороны или второй стороны.
В качестве обходного пути электронные письма могут приходить с поддоменов основного свойства,
community.largecorporation.comнапример.источник
d=subdomain.example.comего, все будет в порядке. Теоретически. Лучше проверить это!Предполагая, что избыточности (например, множественные ссылки
_spf.google.comи записи, на которые они ссылаются) учитываются только один раз, я считаю 17 поисков с того момента, когда вы уже искали исходную запись. (См. ниже.)Он отказывается искать все записи, необходимые для оценки вашей записи SPF, потому что это будет «слишком много работы». Предположительно это означает, что он будет обрабатывать ваш домен так, как если бы у него не было записи SPF (или, возможно, отклонить его). В спецификации говорится, что это приводит к permerror , что оставляет получателя достаточно открытым, чтобы решить, что делать .
Я думаю, что насилие, как правило, идет вверх, а не вниз. Это ограничение, по-видимому, предназначено для того, чтобы помешать доменам-нарушителям-отправителям, которые в противном случае могут переполнить получателя огромными цепочками SPF, что может привести к DoS.
Я думаю, что, несмотря на то, что аутсорсинг электронной почты является распространенным явлением, на самом деле не так уж часто встречать электронную почту для шести различных поставщиков. Вам придется как-то оптимизировать запись SPF.
(С одной стороны, ссылка на
aspmx.googlemail.comкажется бесполезной, поскольку она сразу же перенаправляет на другое имя.)источник
Как понятно из принятого ответа на один из связанных вопросов , многие из базовых инструментов для систем UNIX действительно применяют этот предел (хотя и не все точно так же), поэтому любая реализация SPF, которая их использует, - почти все в UNIX - будет применять эти ограничения также. Системы Windows сами по себе являются законом, и я не могу пролить на них свет.
Обходной путь должен иметь работу cron, которая оценивает вашу цепочку внешних записей SPF, выражает их все как сетевые блоки ipv4 и ipv6 и вносит это в вашу запись. Не забывать
-all.В вашем случае вы хотите, чтобы клиенты могли публиковать записи SPF, которые они не должны поддерживать. Один из вариантов - каждый клиент публикует запись, содержащую
redirect=spf.client1.jeffs-company.example, а затем вы выполняете работу по поддержанию списка сетевых блоков по адресуjeffs-company.example.Ограничение затрудняет передачу вашей электронной почты на шесть или семь крупных операций; но, возможно, если вы делаете это, вы в любом случае потеряли контроль над своей электронной почтой.
Где-нибудь, однажды, какой-нибудь программист, работающий по субподряду, о существовании которого вы совершенно не знали и над которым у вас нет никакого контроля, собирается неправильно поставить точку с запятой, и тонна поддельных электронных писем будет отправлена прямо с вашей подписью SPF. Полный контроль над вашей электронной почтой требует полного контроля над вашей почтовой инфраструктурой, и это, на мой взгляд, совершенно несовместимо с таким большим количеством аутсорсинга.
источник
Другой способ обойти эти проблемы - посмотреть, какое именно программное обеспечение используется для проверки настроек SPF. В моем случае это cluebringer / PolicyD, который
Mail::SPF::Serverв конце использует и принимает аргументы, ослабляющие иначе жестко заданные ограничения. Проблема в том, что сам cluebringer не поддерживает ослабление этих аргументов в настоящее время , но это может измениться в будущем, и можно будет просто сообщить принимающим поставщикам услуг об этих возможностях ослабить их настройки.Если они решат сделать это, конечно, из-под контроля, но это по крайней мере шанс.
источник