SPF: wyjaśnienie (i konfiguracja)
Czym dokładnie jest SPF?
SPF to jeden z trzech elementów uwierzytelniania poczty, obok DKIM i DMARC. Nazwa to skrót od Sender Policy Framework. Idea jest prosta: ty decydujesz, które serwery wysyłające są „oficjalne” dla twojej domeny, i zapisujesz to publicznie. Jeśli odbiorca dostanie wiadomość, która twierdzi, że pochodzi od ciebie, ale z serwera spoza twojej listy, to wyraźnie podejrzany sygnał.
Pomyśl o tym jak o liście gości przy drzwiach. Na liście są serwery, które mogą „przemawiać” w imieniu twojej domeny. Serwer odbiorcy to portier, który sprawdza listę: jeśli nadawca na niej jest, to plus; jeśli go nie ma, włącza się alarm.
Co daje ci SPF?
SPF pomaga na dwóch frontach jednocześnie.
- Lepsza dostarczalność. Duzi dostawcy poczty traktują poprawny SPF jako znak, że jesteś poważnym, prawdziwym nadawcą. To zwiększa szansę, że twoja poczta trafi do skrzynki odbiorczej, a nie do spamu.
- Ochrona twojego dobrego imienia. Bez SPF ktoś łatwiej wyśle wiadomości, które wyglądają, jakby pochodziły z twojej domeny. Z SPF jest to trudniejsze, bo odbiorca może zweryfikować serwer nadawcy.
Od 2024 roku ma to jeszcze większe znaczenie: duzi dostawcy poczty wymagają od nadawców masowych, żeby ich poczta była poprawnie uwierzytelniona. SPF jest tego pierwszym, najbardziej podstawowym elementem. Jeśli zauważasz, że twoje wiadomości trafiają do spamu, przeczytaj też dlaczego moje maile trafiają do spamu.
Uwaga: sam SPF nie wystarczy. Sprawdza serwer wysyłający, ale nie to, czy treść została po drodze zmieniona (to robi DKIM), i nie mówi, co ma się stać, gdy weryfikacja się nie powiedzie (to robi DMARC).
Jak poprawnie ustawić SPF?
Rekord SPF to jedna linia tekstu, którą publikujesz jako rekord DNS typu TXT. Wymieniasz w niej źródła, które mogą wysyłać pocztę w twoim imieniu, i kończysz instrukcją dla całej reszty.
Uproszczony przykład wygląda tak:
v=spf1 include:_spf.twojdostawca.eu -all
v=spf1oznacza, że chodzi o rekord SPF.include:...odsyła do serwerów twojego dostawcy poczty.-alloznacza: wszystko inne jest niedozwolone.
Na co trzeba uważać:
- Jeden rekord SPF na domenę. Dwa osobne rekordy SPF powodują błędy. Połącz wszystko w jedną linię.
- Nie przekraczaj limitu dziesięciu zapytań. SPF może wykonać maksymalnie dziesięć zapytań DNS (lookups); zbyt wiele odwołań
includepsuje twój rekord. - Świadomie wybierz zakończenie.
-alljest surowe (odrzuć resztę),~allłagodniejsze (oznacz jako podejrzane). Dla większości domen celem jest-all, gdy masz pewność, że wszystkie prawidłowe źródła są w twoim rekordzie. - Nie pomiń żadnego źródła wysyłki. Jeśli wysyłasz też przez narzędzie do newsletterów lub program księgowy, ono również musi być w twoim rekordzie.
Jeśli naprawdę chcesz ustawić to samodzielnie, skorzystaj z osobnego poradnika jak ustawić rekord SPF. Jeśli masz wątpliwości co do pojęć DNS, artykuł rekordy DNS poczty: wyjaśnienie zestawia MX, SPF, DKIM i DMARC w jednym miejscu. Krótką definicję znajdziesz w słowniku pojęć: SPF.
SPF, DKIM i DMARC działają razem
SPF to pierwsza warstwa, ale najwięcej zyskujesz, gdy używasz wszystkich trzech razem. DKIM dodaje podpis cyfrowy, który dowodzi, że twoja wiadomość nie została po drodze zmieniona, a DMARC spina wszystko i mówi odbiorcy, co zrobić, gdy weryfikacja się nie powiedzie. Jak je ze sobą zgrać, przeczytasz w poradniku SPF, DKIM i DMARC: konfiguracja krok po kroku.
Jak Mailflux załatwia to za ciebie
W Mailflux nie musisz samodzielnie żonglować rekordami SPF. Zarządzamy SPF, DKIM i DMARC dla twojej domeny i pilnujemy reputacji IP naszych serwerów wysyłających, żeby twoja poczta niosła do odbiorcy właściwe sygnały. Każdy plan filtruje ponadto spam, phishing i złośliwe oprogramowanie z pomocą uczenia maszynowego (machine learning), ze standardową ochroną antywirusową, antyspamową i antymalware oraz automatycznymi kopiami zapasowymi.
Dostajesz profesjonalną pocztę we własnej domenie, hostowaną w Europie i zgodną z RODO, z opcjonalną weryfikacją dwuetapową. Technikę stojącą za dostarczalnością bierzemy na siebie; ty po prostu piszesz maile.
FAQ
Najczęściej zadawane pytania
Czy SPF wystarczy, żeby zapobiec spoofingowi?
Nie. SPF sprawdza, które serwery mogą wysyłać w twoim imieniu, ale nie to, czy treść została po drodze zmieniona, i nie wiąże weryfikacji z widocznym nadawcą. Dla prawdziwej ochrony łączysz SPF z DKIM i DMARC. Dopiero te trzy razem zamykają drzwi przed nadużyciami.
Ile rekordów SPF mogę mieć?
Jeden na domenę. Kilka osobnych rekordów SPF powoduje błędy i psuje weryfikację. Jeśli wysyłasz z kilku źródeł, umieszczasz je wszystkie w tym jednym rekordzie, z odwołaniami (include) do każdego dostawcy. Nie przekraczaj przy tym limitu dziesięciu zapytań DNS.
Co oznacza `-all` na końcu rekordu SPF?
-all oznacza: żadne serwery spoza rekordu nie mogą wysyłać w twoim imieniu; odbiorca może taką pocztę odrzucić. ~all jest łagodniejsze i tylko oznacza taką pocztę jako podejrzaną. -all jest celem, gdy masz pewność, że każde prawidłowe źródło jest w rekordzie.