AutoSPF wyjaśnia: kompletny przewodnik po dodawaniu rekordu SPF w Cloudflare

Poczta e-mail to jedno z najpotężniejszych narzędzi komunikacji w erze cyfrowej, ale z tą siłą wiąże się również odpowiedzialność. Jeśli prowadzi Pan/Pani domenę, która wysyła wiadomości e-mail, czy to wiadomości transakcyjne, newslettery, czy wewnętrzne wiadomości zespołu, musi Pan/Pani poprawnie uwierzytelniać te wiadomości. Bez odpowiedniego uwierzytelnienia Pana/Pani wiadomości mogą zostać oznaczone jako spam, zablokowane lub wręcz odrzucone przez serwery odbiorcze.

Zgodnie z RFC 7208 ocena SPF jest ograniczona do 10 wyszukiwań mechanizmów DNS oraz 2 pustych wyszukiwań na jedną kontrolę; przekroczenie któregokolwiek z tych limitów powoduje wystąpienie błędu PermError, który powoduje niepowodzenie uwierzytelnienia każdej wiadomości z domeny.

Instrukcje konfiguracji obejmujące Cloudflare oraz dziesiątki innych platform znajdzie Pan/Pani w naszym Przewodniku po konfiguracji rekordu SPF.

I tu właśnie wkracza SPF (Sender Policy Framework).

W tym szczegółowym przewodniku przeprowadzę Pana/Panią przez wszystko, co trzeba wiedzieć o SPF: czym jest, dlaczego ma znaczenie, jak Cloudflare obsługuje rekordy DNS oraz dokładnie, jak krok po kroku dodać rekord SPF w Cloudflare. Omówimy również zaawansowane wskazówki i typowe pułapki, aby udało się Panu/Pani za pierwszym razem.

Czym jest SPF?

SPF to skrót od Sender Policy Framework, czyli sposób, w jaki właściciele domen mogą opublikować listę serwerów i usług uprawnionych do wysyłania poczty w ich imieniu. W ujęciu technicznym SPF to rekord DNS TXT, który określa, które adresy IP i domeny mogą wysyłać pocztę dla Pana/Pani domeny.

Gdy przychodzący serwer pocztowy otrzymuje wiadomość, która rzekomo pochodzi z Pana/Pani domeny, przeprowadza kontrolę SPF. Pobiera rekord SPF TXT z DNS, aby zweryfikować, czy serwer wysyłający jest uprawniony. Jeśli tak, kontrola przechodzi pomyślnie; jeśli nie, kontrola kończy się niepowodzeniem, a wiadomość może trafić do spamu lub zostać całkowicie odrzucona.

SPF pomaga zwalczać podszywanie się pod pocztę e-mail, phishing oraz nieautoryzowane wykorzystanie Pana/Pani domeny, a wszystkie te zjawiska stanowią poważne zagrożenia dla reputacji i dostarczalności. Chroni to zarówno Pana/Pani firmę, jak i odbiorców.

Dlaczego Cloudflare DNS?

Cloudflare to jeden z najczęściej używanych dostawców DNS na świecie. Jego globalnie rozproszona sieć poprawia wydajność dzięki buforowaniu Pana/Pani DNS na całym świecie i pomaga zwiększyć bezpieczeństwo dzięki wbudowanym zabezpieczeniom. Wielu właścicieli domen korzysta z Cloudflare do zarządzania DNS, ponieważ jest on niezawodny, szybki i dobrze integruje się z innymi usługami Cloudflare.

Niezależnie od tego, czy używa Pan/Pani Cloudflare wyłącznie do DNS, czy w połączeniu z innymi funkcjami Cloudflare (takimi jak CDN, zabezpieczenia, routing poczty itp.), proces dodawania rekordów DNS, w tym SPF, przebiega według tego samego podstawowego schematu.

Dlaczego SPF ma znaczenie przede wszystkim

SPF nie tylko pomaga w dostarczeniu Pana/Pani wiadomości. Stanowi część trójki standardów, które współdziałają ze sobą:

SPF: weryfikuje, że poczta jest wysyłana z uprawnionego serwera.
DKIM: dodaje do wiadomości wychodzących podpis kryptograficzny, aby odbiorcy mogli zweryfikować integralność.
DMARC: instruuje serwery odbiorcze, jak postępować z wiadomościami, które nie przejdą kontroli SPF i/lub DKIM, oraz opcjonalnie wysyła Panu/Pani raporty o niepowodzeniach.

Wspólnie protokoły te ograniczają spam, phishing i sfałszowane wiadomości oraz poprawiają reputację Pana/Pani domeny w całym internecie.

Przed dodaniem SPF proszę upewnić się, że zna Pan/Pani wszystkie usługi, które wysyłają pocztę w imieniu Pana/Pani domeny, w tym platformy marketingowe, systemy CRM oraz wewnętrzne serwery pocztowe.

Jak działają rekordy SPF (koncepcyjnie)

Rekordy SPF istnieją w DNS jako rekordy TXT. Typowy rekord SPF może wyglądać tak:

v=spf1 ip4:192.0.2.0/24 include:mailprovider.com ~all

Oto, co oznacza każda część:

v=spf1: deklaruje, że jest to rekord SPF w wersji 1.
ip4:192.0.2.0/24: autoryzuje blok adresów IP do wysyłania poczty.
include:mailprovider.com: dołącza reguły SPF zewnętrznej usługi pocztowej (na przykład dostawcy newsletterów).
~all: ustanawia „soft fail” dla każdego nadawcy niewymienionego powyżej, co oznacza, że wiadomość może zostać oznaczona jako podejrzana. Można również użyć -all dla bardziej rygorystycznego „hard fail”.

W Cloudflare rekordy SPF należy tworzyć jako rekordy TXT w ustawieniach DNS. Przeanalizowanie przykładowego rekordu SPF obok siebie pomaga utrwalić składnię.

Krok po kroku: dodawanie rekordu SPF w Cloudflare

Proszę wykonać poniższe kroki, aby bezpiecznie opublikować rekord SPF w Cloudflare:

Krok 1: zalogować się do Cloudflare

Proszę przejść na https://dash.cloudflare.com i zalogować się przy użyciu swoich danych uwierzytelniających Cloudflare.

Krok 2: wybrać swoją domenę

Z listy domen proszę kliknąć tę, którą chce Pan/Pani skonfigurować.

Krok 3: przejść do ustawień DNS

W lewym pasku bocznym proszę kliknąć DNS. Spowoduje to przejście do panelu rekordów DNS.

Krok 4: dodać nowy rekord DNS

Proszę kliknąć „Dodaj rekord”. W formularzu nowego rekordu:

Typ: proszę wybrać TXT
Nazwa: proszę wpisać @ (reprezentuje to Pana/Pani domenę główną)
Zawartość: proszę wkleić swoją regułę SPF
TTL: proszę pozostawić na Auto, chyba że ma Pan/Pani konkretny powód, aby to zmienić

Podstawowy wpis SPF może wyglądać tak:

v=spf1 include:thirdpartyservice.com ~all

Proszę upewnić się, że uwzględnia Pan/Pani wszystkich uprawnionych nadawców (swoje serwery, platformę newsletterową, CRM itp.).

Następnie proszę kliknąć Zapisz.

Ważne: domena powinna mieć tylko jeden rekord SPF. Posiadanie wielu rekordów może powodować niepowodzenia uwierzytelniania. Jeśli musi Pan/Pani autoryzować wielu nadawców, proszę połączyć ich w jeden rekord, korzystając z mechanizmów include oraz IP.

Jakie są najlepsze praktyki przy autoryzowaniu wielu źródeł?

Wiele domen wysyła pocztę za pośrednictwem więcej niż jednego systemu, na przykład:

Wewnętrzne serwery pocztowe
Narzędzia do e-mail marketingu
Platformy CRM lub wsparcia
Zewnętrzni dostawcy

Jeśli wszystkie z nich wysyłają w imieniu Pana/Pani domeny, proszę nie tworzyć wielu rekordów SPF, tylko je połączyć. Na przykład:

v=spf1 ip4:192.0.2.0 include:mailchimp.com include:zohomail.com ~all

Każdy include: obsługuje jednego dostawcę. Zbyt wiele include lub mechanizmów może osiągnąć limity wyszukiwań DNS, dlatego proszę planować starannie. Zrozumienie różnych wariantów rekordów SPF pomaga wybrać najbardziej oszczędne mechanizmy.

Walidacja rekordu SPF

Po dodaniu rekordu należy go zweryfikować:

Zaczekać na propagację DNS

Rozprzestrzenienie się zmian DNS w sieci może zająć od kilku minut do kilku godzin.

Skorzystać z narzędzia do wyszukiwania SPF

Proszę używać narzędzi takich jak:

Walidatory SPF
Wyszukiwania DNS TXT
Kontrolery uwierzytelniania poczty

Narzędzia te potwierdzają, że rekord jest widoczny i poprawny składniowo. Nasz bezpłatny kontroler rekordów SPF robi dokładnie to.

Typowe błędy i jak je naprawić

Wiele rekordów SPF

Cloudflare, podobnie jak wszystkie systemy DNS, obsługuje tylko jeden rekord SPF TXT na domenę. Jeśli przypadkowo utworzy Pan/Pani więcej niż jeden, niektóre serwery pocztowe wprost odrzucą Pana/Pani wiadomości. Cloudflare Docs

Zbyt wiele wyszukiwań DNS

Rekordy SPF, które dołączają zbyt wiele usług zewnętrznych, mogą przekroczyć limit wyszukiwań DNS (10 include). Po osiągnięciu tego pułapu uwierzytelnianie poczty może się nie powieść, nawet jeśli rekord jest technicznie obecny.

Brakujące include

Jeśli zapomni Pan/Pani dołączyć SPF danego dostawcy, jego poczta może nie przejść kontroli SPF i trafić do spamu.

Niewłaściwy typ rekordu

Czasami właściciele domen próbują użyć SPF jako typu rekordu, ale SPF musi być publikowany jako rekord TXT. Cloudflare nie obsługuje przestarzałego typu rekordu SPF.

Wzmocnij bezpieczeństwo poczty za pomocą DKIM i DMARC

Gdy SPF już działa, proszę nie poprzestawać na tym.

DKIM

DKIM dołącza do wiadomości podpis kryptograficzny, aby odbiorcy mogli zweryfikować, że wiadomość nie została zmieniona podczas przesyłania. Wykorzystuje dodatkowe rekordy DNS TXT lub rekordy CNAME i wymaga wsparcia ze strony Pana/Pani usługi pocztowej.

DMARC

DMARC pozwala Panu/Pani wskazać serwerom odbiorczym, jak postępować z wiadomościami, które nie przejdą kontroli SPF i/lub DKIM, a także opcjonalnie zbierać raporty o niepowodzeniach. DMARC zazwyczaj dodaje się jako rekord TXT pod adresem _dmarc.twojadomena.com.

Wspólnie SPF, DKIM i DMARC tworzą fundament silnego uwierzytelniania poczty i mają kluczowe znaczenie dla dostarczalności oraz ochrony marki.

Narzędzia upraszczające zarządzanie SPF

Ręczne zarządzanie rekordami SPF może być żmudne, zwłaszcza jeśli korzysta Pan/Pani z wielu usług pocztowych. Narzędzia takie jak AutoSPF (to ja!), EasyDMARC, PowerDMARC i inne mogą pomóc Panu/Pani:

Generować rekordy SPF
Weryfikować składnię
Agregować include
Monitorować problemy z DNS

Narzędzia te pomagają utrzymać Pana/Pani SPF w dobrej kondycji w miarę rozwoju ekosystemu poczty.

Końcowe wskazówki

Tak Proszę zawsze utrzymywać jeden rekord SPF na domenę. Tak Proszę uwzględnić wszystkie uprawnione źródła wysyłki. Tak Proszę przetestować po opublikowaniu. Tak Proszę okresowo sprawdzać przy dodawaniu lub usuwaniu usług. Tak Proszę uzupełnić o DKIM i DMARC, aby zapewnić pełną ochronę.