SPF Kayıt Denetleyicisi çok sıradan bir modern felaket için tasarlandı: meşru görünen, doğru şirketten gelen, doğru hizmet tarafından gönderilen ve gönderen alan adı özensiz bir SPF kaydı yayınladığı için hâlâ şüpheli bir davetsiz misafir gibi muamele gören e-posta. Bir alan adı girersiniz, denetleyici DNS'de SPF politikasını arar, kaydı gösterir, dahil etme ve yönlendirme zincirlerini takip eder, politikanın kaç DNS aramasını tetiklediğini tahmin eder ve olağan hataları belirtir: çok fazla iç içe içerme, birden fazla SPF kaydı, tehlikeli +all , belirsiz sonlar, döngüler ve uzun süredir unutulmuş bir geçişten bu yana kimsenin incelemediği devralınan saçmalıklar.
Bunun neden önemli olduğunu anlamak için yavaşlamak ve hareketli parçaları sade bir dille açıklamak faydalı olacaktır. alan adı , example.com gibi genel addır. DNS, Alan Adı Sistemi , o isme hangi teknik kayıtların ait olduğunu internete bildiren global arama sistemidir. Bir kayıt, bir web sitesini bir IP adresine işaret eder. Bir diğeri, hangi posta sunucularının gelen postaları aldığını söylüyor. SPF, DNS tarafından yayınlanan bir kuraldır. Alıcı posta sistemlerine, söz konusu alanı için hangi sunucuların posta göndermesine izin verildiğini bildirir. Basit anlamda, SPF, DNS'e şunu söyleyen bir not bırakan alan adı sahibidir: "Postanın benden geldiği iddia ediliyorsa, gönderenin onaylananlar listemde olup olmadığını kontrol edin." Şaşırtıcı derecede çok sayıda kuruluş hâlâ bu temel kendini tanımlama eyleminde başarısız oluyor, ardından spam filtreleri iyiliğe karşılık verince yaralı gibi davranıyor.
Tarihsel arka planı bilmeye değer çünkü SPF'nin modası ya da kurumsal hevesin modası geçmedi. E-posta, internetin daha küçük olduğu ve insanların aldatmacayı henüz gezegen ölçeğinde sanayileştirmediği, daha güvenilir bir çağda tasarlandı. E-posta göndermek için kullanılan protokol olan klasik SMTP'de, gönderenin kimliğinin bazı kısımlarını taklit etmek son derece kolaydı. Bu, suçlular, spam gönderenler, kimlik avı yapanlar ve genel küresel baş belaları birliği için işe yaradı. Kötüye kullanım arttıkça e-posta dünyası, bir alan adı için kimin posta göndermesine izin verildiğini beyan etmenin pratik yollarına ihtiyaç duydu. SPF bir cevap olarak ortaya çıktı. Daha sonra RFC 7208'de standartlaştırıldı ve burada politika DNS'de v=spf1 ile başlayan bir TXT kaydı olarak yayınlandı. Zarif, basit ve insanların aşırı karmaşık hale getiremeyeceği kadar kolay.
Bir SPF kaydı yalnızca metindir ancak bu metin politikayı taşır. IP adreslerini doğrudan ip4 veya ip6 ile listeleyebilir. Bir alanın A veya MX ana bilgisayarlarını yetkilendirebilir. ile diğer politikaları alabilir: . Değerlendirmeyi yönlendirme= ile devredebilir. Ve genellikle -all , ~all , ?all gibi bir şeyle veya +all olarak bilinen felaket küçük palyaço arabasıyla biter. Bu sonlar önemlidir. -tümü katıdır: gönderen eşleşmiyorsa başarısız olun. ~tüm daha yumuşak ve yaygındır. ?tümü politika kisvesine bürünmüş bir omuz silkmedir. +all herkesin sizin adınıza posta göndermesine izin verildiğini belirten genel bir beyandır; bu, bir kimlik doğrulama politikasından ziyade törensel bir teslimiyettir.
SPF'nin insanların kafasını karıştırmasının nedeni, DNS'de bulunması, ancak e-posta dağıtımının başka bir yerde gerçekleşmesi ve gelen kutusunda görünen adresin başka alanları da içerebilmesidir. Bu yüzden insanlar soruları yanlış sırayla soruyorlar. "Web sitem çalışıyor, dolayısıyla posta kurulumum iyi olmalı" diye düşünüyorlar. Hayır. Posta kimlik doğrulaması çöplük iken bir web sitesi mükemmel olabilir. "Alanım var, dolayısıyla onu kullanan tüm hizmetlere otomatik olarak güvenilmesi gerekiyor" diye düşünüyorlar. Ayrıca hayır. Alıcı sunucu sizin duygularınızı değil kayıtları, yolları, IP adreslerini ve hizalama mantığını kontrol eder. İnternetin pek çok kusuru var ama yaralanan özgüvene karşı canlandırıcı bir şekilde kayıtsız.
SPF'nin en önemli gerçeklerinden biri DNS arama sınırıdır. RFC 7208, SPF değerlendirmesinin DNS sorgulama mekanizmalarının ve değiştiricilerinin sayısını on ile sınırlaması gerektiğini söylüyor. Bu sınır yoktur çünkü standart yazarları zulümden hoşlanırlar. Bunun nedeni, SPF'nin pahalı, yavaş ve kötüye kullanılabilir hale gelen DNS çalışması zincirlerini tetikleyebilmesidir. Her içerir, a , mx , ptr , mevcut ve yönlendirmesinin bazı kullanımları DNS aramalarını tüketebilir. İnsanlar genellikle tedarikçi snippet'lerini buzdolabı mıknatısı gibi istifleyerek bir kayıt oluşturur: Google Workspace, pazarlama platformu, CRM, bilet sistemi, haber bülteni aracı, işlem geçişi, eski bir yöneticiden devralınan gizemli cihaz ve "posta durabilir" diye kimsenin kaldırmaya cesaret edemediği bir hizmet. Sonra SPF'nin neden bozulduğunu merak ediyorlar. Aritmetik var olduğu için kırılır.
Bu nedenle gerçek bir SPF denetleyicisi faydalıdır. Görünür TXT dizisine bakmak çoğu zaman yeterli değildir. Bir SPF kaydı ilk bakışta düzenli görünebilir ve aşağıdakileri içerdiğinde hala bir DNS çöpçü avına dönüşebilir: zincirleri genişletilir. Bir satıcı diğerini içerir. Bu iki tane daha içeriyor. Birisi bir yönlendirme ekliyor. Başka bir ekip, geçiş sırasında yeni bir ekleme ekliyor. Birdenbire posta yolu, yabancılar tarafından yürütülen uzak politikalardan oluşan iç içe geçmiş bir oyuncak bebeğe bağımlı hale gelir ve alan adınız, sınırı aşmaya hevesli bir satıcı kadar uzaktadır. Daha sonra bir kimlik doğrulama hatası ortaya çıkıyor ve sanki standart onlara kişisel olarak hakaret etmiş gibi herkes Microsoft'u, Google'ı, ayı veya "DNS yayılımını" suçluyor.
SPF ayrıca altyapıyla ilgili çok eski bir dersi de öğretir: Basit başlayan her sistem, sonunda insanın yaratıcılığını çeker ve insan yaratıcılığı, üretim DNS'sine uygulandığında çoğu zaman sabotajdan ayırt edilemez. Orijinal fikir mütevazı. Yetkili gönderenler için bir politika yayınlayın. Pratik gerçeklik, dış kaynaklı posta hizmetleri, unutulmuş alt alanlar, yinelenen TXT kayıtları, yardım makalelerinden çelişkili parçalar ve bir danışmanın altı yeniden markalama ve iki birleşmeden sağ kurtulan "geçici" içeriği aracılığıyla arkeolojik bir kazıya dönüşüyor. E-posta kimlik doğrulaması, teslim edilebilirlik saygı uyandıracak kadar acı verene kadar belgelerin göz ardı edildiği yerdir.
Pek çok sıradan rehberin bulanıklaştırdığı önemli bir nokta daha var. SPF, kullanıcıların Gönderen adresini tam olarak bekledikleri gibi göreceklerini ve ona anında güveneceklerini garanti etmez . SPF, zarfı ve gönderen altyapı yolunu kontrol eder ve modern posta ekosistemlerinde DKIM ve DMARC ile birlikte çalışır. Bu, SPF'nin önemli, bazen belirleyici olduğu ve yine de daha büyük bir kimlik doğrulama hikayesinin yalnızca bir parçası olduğu anlamına gelir. Sağlıklı bir posta kurulumunda genellikle üçünün de göreceli olarak barış içinde yaşaması gerekir. SPF'yi sahteciliğe karşı tam bir çözüm olarak satan herkes, genellikle ucuza basılmış kılavuzlarda ve aşırı heyecanlı gösterge tablolarında bulunan türden bir güven sunuyor.
SPF'nin teknik güzelliği, grameri anladığınızda son derece okunaklı olmasıdır. Pratikteki çirkinlik, okunabilirliğin, tehlikeli olabilecek kadar bilgi sahibi kişiler tarafından gelişigüzel düzenleme yapılmasına davetiye çıkarmasıdır. Bir tane ekleyin. Başka bir tane ekleyin. Bir satıcı makalesinde öyle söylendiği için -all yerine ~all yazın. Farklı bir platform için yazılmış bir destek sayfasından bir pasajı yapıştırın. Eski sağlayıcının hâlâ haftada bir fatura postası gönderdiğini unutun. Bir sistemin "kendisine ihtiyacı olduğu" için iki SPF kaydı yayınlayın. Ardından aralıklı arızaların dijital yarışmasının tadını çıkarın. Bu tür bir hata tam olarak yaygındır çünkü SPF, DNS'de düz metin olarak yaşar. İnsanlar metni görüyor ve sonuçlarının küçük olduğunu varsayıyor. DNS'deki metin, önemli postaların gelip gelmediğine, spam kapsamına girip girmediğine veya bürokratik öbür dünyada kaybolup kaybolmadığına sessizce karar verebilir.
Bu nedenle bir denetleyicinin "kayıt bulundu" duyurusundan daha fazlasını yapması gerekir. Bir plak bulmak anaokuludur. Gerçek değer, politikanın tutarlı, tekil, sınırlı ve mantıklı olup olmadığını sormaktır. Alan adı tam olarak bir SPF kaydı yayınlıyor mu? Anlamlı bir politikayla sonuçlanıyor mu? Eski sağlayıcıları içeriyor mu? ptr gibi cesareti kırılan mekanizmalara mı dayanıyor? Dahil etme ve yönlendirmeler genişletildiğinde on arama tavanının ötesine geçiyor mu? Ön kapınızı kilitlemenin ve anahtarı neşeli bir notla dışarıya asmanın e-posta kimlik doğrulaması eşdeğeri olan +all kullanıyor mu?
Daha önce bunların hiçbirini umursamamış biri için pratik ders son derece basittir. Şirketiniz bir alan adından e-posta gönderiyorsa bu alan adının DNS'de doğru bir SPF kaydı yayınlaması gerekir. Bu kayıt meşru gönderme yollarını belirtmeli, arama limitleri dahilinde kalmalı, çelişkilerden kaçınmalı ve gönderme hizmetleri değiştiğinde gözden geçirilmelidir. E-posta sorunları genellikle gizemli görünür çünkü başarısız politika, ofis duvarına basılmak yerine DNS metnine gömülür. Kaydı düzgün bir şekilde incelediğinizde, gizem genellikle teknik kıyafetlerin giyilmesinin sıradan ihmaline dönüşür.
Başka bir deyişle SPF, daha büyük bir gerçeği ortaya çıkaran internet mekanizmalarından biridir. Fikirler imkansız olduğu için ağ başarısız olmaz. Başarısız oluyor çünkü kuruluşlar araçları, satıcıları, istisnaları ve geçici düzeltmeleri açık kalması gereken bir şeyin üstüne katmanlamaya devam ediyor. İyi bir SPF kaydı anlaşılacak kadar kısa, önemli olacak kadar katı ve gerçek posta akışını yansıtacak kadar doğrudur. Kötü olanı, DNS'de serileştirilmiş kurumsal suçluluk gibi okunur. Tam olarak bu nedenle ciddi bir SPF Kayıt Denetleyicisi gerçek bir araç kutusuna aittir: dekoratif yeşil onay işaretleri oluşturmak için değil, bir alan adının posta politikasının gerçekten savunulabilir olup olmadığını veya yalnızca idari kaza nedeniyle hala ayakta olup olmadığını ortaya çıkarmak için.