Сбой SPF против плюсов с мягким сбоем и cons
Вопрос
Каковы преимущества и недостатки использования Fail по сравнению с SoftFail в моей записи SPF?
Что я нашел по теме
Еще в 2007 году, казалось, осведомленный люди, кажется, сказали, что SoftFail предназначен только для тестирования, и призвали изменить его, чтобы отклонить, как только вы все настроите должным образом ( здесь и здесь )
Это сообщение на форуме называет SoftFail "неправильно настроенным", но затем говорит, что Google его использует. Я доверяю Google как лучшему опыту больше, чем случайному постеру на форуме! Я проверил, и действительно, Gmail использует ~ all (SoftFail) в своей записи SPF .
Что касается отправителя вещей, эксперты по доставляемости электронной почты кажутся для поощрения использования SoftFail:
Fail » чем он решает (мы не рекомендуем это). "
Это довольно расплывчато.
" Я обычно рекомендую публиковать
~ всезаписи для моих клиентов . Есть не большое преимущество для публикации - все, а иногда и почта переправлено вокруг. Единственный раз, когда я рекомендую запись для всех, - это когда домен превращается в спам. Подделка домена может вызвать множество отскакивает. Количество отказов может быть достаточно большим, чтобы удалить почту server, особенно с небольшой пользовательской базой. Многие интернет-провайдеры проверят SPF перед отправкой возврата, поэтому запись -all может уменьшить s inbox?
Сондра уже направила вас к связанному с этим вопросу, но, по моему мнению, самый высокий результат не соответствует вашим вопросам.
Позвольте мне начать с вашего последнего вопроса: Что такое вероятность того, что поддельное фишинговое письмо, полученное SPF SoftFails, действительно попадет в чей-то почтовый ящик? Огромный! В сочетании с политикой карантина / отклонения DMARC и получающим почтовым ящиком в Office 365, Outlook.com, Gmail, Yahoo или другом крупном хостинге, это очень маловероятно.
Ваш первый вопрос: каковы преимущества Fail по сравнению с SPF-записью Soft Fail . Как упоминалось в вашем собственном исследовании, недостатком будет то, что перенаправленные электронные письма будут отклоняться, если адрес возврата (обратный путь) не будет переписан пересылкой. Преимущество заключается в том, что домен лучше защищен от спуфинга, но только для простейших попыток.
Как упоминалось выше, недостаток SPF заключается в том, что он проверяется на SMTP отправитель конверта , сохраненный в заголовке сообщения. поле Обратный путь . Фактический получатель не будет знать об этом поле, потому что большинство почтовых клиентов будут представлять ему только другое поле, заголовок From . Например: я отправляю электронное письмо с заголовком От: (скрыто), но использую (скрыто) в качестве отправителя конверта. Несмотря на то, что microsoft.com публикует политику SPF Fail , он не приведет к сбою SPF, поскольку example.com не публикует запись SPF. Получатель просто увидит письмо от (скрытого), откуда приходит DMARC. DMARC требует согласования аутентификации с доменом, используемым в заголовке From , либо для SPF, либо для DKIM. Это означает, что домен, используемый в отправителе конверта ( Return-Path ), и заголовок From: должны совместно использовать домен организации. Терри Зинк опубликовал несколько статей о DMARC, одна из которых:
Улучшенная защита электронной почты с помощью DKIM и DMARC в Office 365
Можно многое узнать о SPF, DKIM и DMARC, но это выходит за рамки этого ответа. DMARC нелегко внедрить и безупречно, но он защищает ваш домен от спуфинга,намного лучше, чем только SPF. Кроме того, все зависит от принимающей стороны и от того, как они работают с SPF и DMARC (если вообще).
Поскольку электронный маркетинг продолжает развиваться, важно убедиться, что все ваши электронные письма правильно аутентифицированы с помощью SPF, DKIM, DMARC и, в конечном итоге, BIMI.
Вам следует начать с аудита всех инструментов и приложений, которые вы используете для отправки электронных писем из вашего домена. Затем обязательно настройте SPF и DKIM для каждого инструмента или приложения, чтобы они правильно аутентифицировались.
Наконец, вы можете использовать инструмент DMARC Analyzer , чтобы настроить DMARC без политики и отслеживать сводные отчеты в течение нескольких недель. DMARC поможет вам обеспечить надлежащую аутентификацию всех ваших электронных писем.
После того, как вы отслеживаете свои отчеты в течение нескольких недель и убедитесь, что отправляются только проверенные электронные письма, вы можете приступить к развертыванию или принудительному применению политики dmarc.
Теперь вернемся к вашему исходному вопросу. Я думаю, что в процессе интеграции DMARC вы можете использовать политику ~all, но после того, как вы проведете аудит всей своей инфраструктуры и настроите SPF и DKIM, вы можете использовать более строгую политику -all. политики в вашей записи SPF.
Если вы хотите узнать больше о сбоях SPF, я бы посоветовал прочитать Мягкий сбой SPF — все о сбоях SPF .