Wat is SPF?
SPF (Sender Policy Framework) is een DNS TXT-record met de servers die mail mogen versturen voor een domein. Ontvangers vergelijken het IP-adres dat verbinding maakt met die lijst en geven pass, fail, softfail of neutral terug. SPF controleert de envelope-afzender (het Return-Path), en dat kan een ander adres zijn dan het From-adres dat mensen zien. RFC 7208 beschrijft het.
De uitkomst lezen
Eerst komt de uitkomst, daarna een meter met de DNS-lookups tegen de limiet van 10, met de kosten van elke term, zodat je ziet welke duur zijn. De policyregel leest de all-term aan het eind: -all handhaaft, ~all is soft en ?all is neutraal. Als onze twee resolvers het oneens zijn, wordt het antwoord als onbetrouwbaar gemarkeerd in plaats van gegokt.
Beat draait op dezelfde engine, volgens een vast schema, over alle 41 checks en 25 blacklists. Wat Beat toevoegt: steeds opnieuw vragen, merken wanneer een antwoord verandert en je vertellen wat je eraan moet doen.
Veelvoorkomende problemen met SPF-records
Meer dan 10 DNS-lookups
Elke include-, a-, mx-, ptr- en exists-term kost een lookup, en redirect ook. Geneste includes tellen mee. Boven de 10 maakt RFC 7208 de uitkomst permerror, en dan slaagt SPF voor geen enkele mail van je meer.
Twee SPF-records
Een domein mag maar één record publiceren dat met v=spf1 begint. Bij twee geven ontvangers permerror en gebruiken ze geen van beide. Voeg ze samen tot één record.
Een record dat eindigt op +all
+all geeft elk IP-adres op internet een pass, dus iedereen kan namens jou door SPF komen.
Een verzender die ontbreekt
Staat een dienst waarmee je verstuurt (een CRM, een helpdesk, een factuurtool) niet in het record, dan faalt de mail van die dienst op SPF. Vergelijk de includes met elke tool die namens je domein verstuurt.