SPF - как это полезно, если получатель проверяет только адрес MAIL FROM?
Если я правильно понимаю, получатель электронной почты проверяет действительность источника электронной почты, сопоставляя IP-адрес домена в MAIL FROM (Return-Path) адрес с IP-адресами, перечисленными в политике SPF домена (в DNS).
Я не понимаю, что как мошенник я мог бы создать любой домен, например xyzzzz.com, добавить SPF политики в DNS и установите для адреса MAIL FROM значение xyzzzz.com, и по-прежнему подделайте адрес From (поскольку SPF проверяет личность только на основе адреса MAIL FROM); и это адрес От, который фактически видит конечный клиент.
Поэтому я не понимаю преимуществ SPF.
SPF полезен для проверки адресов отправителя конверта , то есть против поддельных отправителей ( ПОЧТА ОТ ). Он был разработан для этого, а не против поддельных заголовков . DKIM предназначен для защиты коллекторов и корпуса от подделки и взлома. Заголовок From: всегда подписан, другие заголовки являются необязательными.
DKIM может защищать только подписанную почту, но не обеспечивает механизма, подтверждающего, что неподписанное сообщение должно быть подписано. . Теперь кажется, что и SPF, и DKIM бессильны против подделки адреса в заголовке From: . На помощь приходит выравнивание DMARC ! DMARC может принудительно применять DKIM, сообщая получателю, как им следует обрабатывать неподписанные сообщения. DKIM + DMARC вместе защищает адрес From: .
Почему все еще актуально защищать адрес MAIL FROM ? Почему бы не использовать только DKIM + DMARC?
SPF по-прежнему защищает ваш домен от использования в качестве отправителя конверта. Зачем кому-то покупать случайный домен и использовать его в качестве отправителя конверта, когда существует множество незащищенных доменов? Без записи SPF кто-то может использовать ваш домен на этом этапе, одновременно подменяя другой домен в заголовках.
Для согласования DMARC требуется только SPF или DKIM. У вас могут быть приложения или устройства, которые должны использовать ваш домен в заголовке
From, но не могут подписывать сообщения DKIM. Не беспокойтесь, если они пройдут тест SPF для одного и того же домена. Точно так же у вас может быть сторонний поставщик для отправки информационных бюллетеней от имени вас, но разрешение их на уровне SPF может быть слишком обширным. Не имеет значения, если они могут подписывать сообщения DKIM с помощью собственного селектора .