מה בדיוק מוגבל לעשרה
RFC 7208 מגביל לעשרה את המנגנונים והמשנים שגורמים לחיפושי DNS במהלך הערכת SPF: include, a, mx, ptr, exists ו-redirect. הפניות מקוננות נכללות בחישוב. ip4, ip6 ו-all אינם צורכים מהתקציב הזה. אין להשתמש ב-ptr בתצורות חדשות.
זה אינו בהכרח מספר חבילות ה-DNS שנשלחו ברשת. קיימות גם מגבלות נוספות, למשל על חיפושים ללא תשובה ועל הרחבת MX. כתובת IP שעוברת במנגנון מוקדם עשויה לעצור את ההערכה לפני חלק מאוחר שחורג מהמגבלה.
איך מזהים את מקור החריגה
בדקו את דומיין MAIL FROM שנבחן בפועל ואת תוצאת האימות שהוסיף המקבל. SPF יכול להחזיר permerror גם בגלל תחביר או כמה רשומות SPF, ולכן שם השגיאה לבדו אינו מוכיח חריגה מעשרה.
| בדיקה | למה היא נחוצה |
|---|---|
| רשומת SPF של הדומיין שנבדק | From הגלוי אינו בהכרח דומיין המעטפת |
| עץ include ו-redirect | הספק יכול להפנות לעוד מנגנונים |
| כתובת ומקור השליחה | מסלולי הערכה עשויים להיות שונים |
| שולחים עסקיים פעילים | כדי לא להסיר מערכת שעדיין שולחת |
| פלט מפורט של מאמת SPF | כדי להבחין בין חריגה, תחביר וכשל זמני |
דוגמה מושגית להפניה מקוננת
נניח שרשומת הדומיין כוללת include אחד, והיעד שלו כולל עוד שלושה include שנבחנים. כבר מדובר בארבעה מנגנונים מחויבי-חיפוש במסלול הזה, עוד לפני הפניות נוספות שלהם. הדוגמה אינה מייצגת ספק מסוים ואינה תוצאת בדיקה של דומיין אמיתי.
בכלי בדיקה הסתכלו גם על התנאים שבהם חושב המספר. בדיקה עבור מקור אחד אינה מכסה אוטומטית את כל מקורות השליחה.
סדר תיקון שלא מנתק שולח נחוץ
Microsoft ו-Cloudflare ממליצות לבחון הפניות מיותרות ואת הגדרות השולחים. אנחנו מציעים לתעד כל שינוי במפת השולחים לפני שנוגעים ברשומה.
- אתרו הפניות לשירותים שהופסקו ואמתו עם בעל המערכת שהן אינן נחוצות.
- בדקו אצל כל ספק מהי הרשומה הנדרשת כיום, בלי לנחש ערכי include.
- בחנו הפרדת שירות לדומיין משנה רק אם השירות תומך בכך ובהתאמת DMARC הנדרשת.
- הימנעו מהחלפה ידנית גורפת של include בכתובות IP; ספק יכול לשנות כתובות ולדרוש תחזוקה.
- אמתו שוב את כל מסלולי השליחה ושמרו את התצורה הקודמת לצורך חזרה.
מה לא יפתור את המגבלה
יצירת רשומת SPF שנייה עבור אותו שם אינה מחלקת את העומס ועלולה ליצור permerror נוסף. גם פיצול טקסט לאותו TXT אינו יוצר תקציב חדש. הוספת +all כדי "להעביר" בדיקה מבטלת את צמצום מקורות השליחה ואינה תיקון.
רשומת DKIM תקינה ומתאימה עשויה לאפשר DMARC גם כש-SPF נכשל, אבל אינה הופכת את תצורת SPF לתקינה. יש לתעד את המצב ולטפל בסיבה בנפרד.
