Иметь действительную запись SPF, но все еще может подделать мою электронную почту

Я настроил запись SPF для своего домена, но я все еще могу подделать адреса электронной почты для своего домена, используя поддельные почтовые службы, подобные этой: http://deadfake.com/Send.aspx

Электронная почта действительно приходит в мой почтовый ящик Gmail просто отлично.

В письме есть ошибки SPF в заголовке, подобные этому: spf=fail (google.com: domain of info@mydomain.com does not designate 23.249.225.236 as permitted sender)но оно все равно получено очень хорошо, что означает, что любой может подделать мой адрес электронной почты ...

Моя запись SPF: v=spf1 mx a ptr include:_spf.google.com -all

ОБНОВЛЕНИЕ В случае, если кому-то интересно, я опубликовал политику DMARC вместе с моей записью SPF, и теперь Gmail правильно помечает поддельные сообщения (рисунок)

введите описание изображения здесь

email spf

— Jitbit
источник

Да, любой может подделать ваш домен по электронной почте. Запись SPF не предотвращает это, если принимающий сервер не выполняет жесткое отклонение на основании сбоя SPF, что, вероятно, делают немногие.

— Joeqwerty

Поскольку включена _spf.google.com ваша политика, вероятно, будет оцениваться ~allне -all. Вы , вероятно , потребуется только один из MX, Aи PTR.

— BillThor

@BillThor, как гласит стандарт, явные , мягкие или жесткие сбои из includeзаписи a d игнорируются при оценке окончательного результата; или, как они выразились, « вычисление директивы -all в ссылочной записи не прекращает общую обработку ».

— MadHatter,

@MadHatter Да, я рассмотрел пересмотренную документацию с этим разъяснением. Это не было ясно в более ранней документации, и я полагаю, что столкнулся с реализациями, которые, по-видимому, не проводят различий. Не все реализации обрабатывают подобные случаи стандартным образом. Я полагаю, что, возможно, именно поэтому разъяснение было необходимо.

— BillThor

@BillThor вы можете быть правы! Как они признают, includeэто не было хорошим названием для этой политики, потому что каждый, кто имел опыт программирования, сразу сделал ряд предположений о том, как она будет работать - некоторые из них были не правы!

— MadHatter,

Ответы:

Тот факт, что вы рекламируете запись SPF, никоим образом не обязывает кого-либо соблюдать ее. Администраторы любого почтового сервера могут выбирать, какую электронную почту они принимают. Я думаю, что они глупы, если не проверяют записи SPF и не отклоняют их соответствующим образом, но это их дело . Я знаю некоторых людей, таких как DMARC, но я думаю, что это отвратительная идея, и я не буду перенастраивать свой почтовый сервер для принятия / отклонения на основе DMARC; Несомненно, некоторые люди чувствуют то же самое по отношению к SPF.

Я думаю, что SPF действительно позволяет вам отказаться от любой дополнительной ответственности за электронную почту, которая, как утверждается, была получена с вашего домена, но не была. Любой почтовый администратор, приходящий к вам с жалобой на то, что ваш домен рассылает им спам, когда они не потрудились проверить запись SPF, которую вы рекламируете и которая сообщает им, что электронное письмо должно быть отклонено, может быть справедливо отправлен с блохой на ухо.

— Безумный Шляпник
источник

SPF не может предотвратить это. Это просто указывает другим серверам, что почта подделана, но большинство используют это только один из нескольких факторов, чтобы решить, должна ли почта быть заблокирована.

— Свен
источник

Хорошо, спасибо, это то, что я подозревал ... Я на самом деле удивлен, что Gmail не "уважает" сбой

— spf

@jitbit Gmail уважает SPF, но SPF-Hardfail не означает, что почта доставляется непосредственно в папку со спамом. Это один из многих параметров для обнаружения спама.

— Sebix

@sebix Я наконец-то заставил Gmail рассматривать это как спам / вредонос, см. обновление в вопросе

— jitbit

Да, это нормально. Любой может подделать любой адрес электронной почты, но SPF (Sender Policy Framework) дает поставщикам услуг электронной почты и клиентам возможность лучше идентифицировать и помечать как спам или, в конечном итоге, полностью пересылать сообщения, если это является частью их процесса.

— morgant
источник