Como proveedor de alojamiento, enviamos correos electrónicos en nombre de nuestros clientes, por lo que les ayudamos a configurar los registros de correo electrónico DKIM y SPF en su DNS para obtener la capacidad de entrega del correo electrónico a la perfección. Les hemos aconsejado que usen http://mail-tester.com para probar que no se perdieron nada, y me gusta mucho esta herramienta.
Un problema con el que nos hemos encontrado varias veces, y no estoy seguro, es el "límite" de DNS en el registro SPF basado en el nombre de dominio. Entonces, si tienes esto:
v=spf1 a include:aspmx.googlemail.com include:campaignmonitor.com include:authsmtp.com include:mail.zendesk.com include:salesforce.com include:_hostedspf.discourse.org ~all
Obtendrás
example.com ... campaignmonitor.com: Maximum DNS-interactive term limit (10) exceeded
Al igual que:
Tengo algunas preguntas sobre esto.
Cuento seis nombres de dominio aquí, no 10, entonces, ¿por qué afecta a "diez" solicitudes de DNS aquí?Respondido aquí¿Este término interactivo de 10 DNS limita una advertencia o un error real ? por ejemplo, ¿debería importarnos? Está molestando un poco a nuestros clientes y nos envían un correo electrónico para solicitar asistencia.Respondido aquí¿Es este límite de término interactivo de 10 DNS un problema real en la web de hoy? Como puede ver, este cliente tiene muchos servicios que le envían correos electrónicos y todos son legítimos. ¿Quizás este límite de DNS se estableció en el año 2000 cuando delegar servicios de correo electrónico como este no era común?
Sí, podemos hacer que nuestros clientes cambien la inclusión a las IP en el registro SPF, pero eso nos pone en apuros si alguna vez cambiamos las IP, un montón de cosas de clientes se romperán. Realmente no quiero hacer eso ...
¿Qué soluciones hay para esto?
fuente
Respuestas:
En la mayoría de los casos ya respondió, tenga en cuenta que incluir Google de esta manera es incorrecto : desea usar
_spf.google.como incurrir en una penalización por la redirección:Esa búsqueda consumirá 5/10 por sí sola: 4/10 todavía apesta, pero un 20% menos.
Se dejará de procesar y devolver un error permanente - le toca al motor mediante el SPF para decidir cómo se quiere tratar a un error permanente.
Sí, sin los límites de procesamiento, los mecanismos SPF podrían usarse como un amplificador DoS contra un tercero o un tercero.
Como solución alternativa, los correos electrónicos pueden provenir de un subdominio de la propiedad principal,
community.largecorporation.compor ejemplo.fuente
d=subdomain.example.com, estará bien. En teoria. Mejor probarlo!Suponiendo que las redundancias (como las referencias múltiples
_spf.google.comy los registros a los que se refiere) solo se cuentan una vez, cuento 17 búsquedas desde el punto donde ya buscó el registro inicial. (Vea abajo.)Se niega a buscar todos los registros necesarios para evaluar su registro SPF porque sería "demasiado trabajo". Presumiblemente, esto significa que tratará su dominio como si no tuviera registro SPF (o posiblemente lo rechace). La especificación dice que esto resulta en permerror , lo que lo deja bastante abierto para que el destinatario decida qué hacer .
Creo que el abuso ha aumentado en lugar de disminuir, en general. Este límite parece estar destinado a frustrar dominios de remitentes abusivos que de otro modo podrían abrumar al receptor con enormes cadenas de SPF, lo que podría conducir a DoS.
Creo que si bien la externalización del correo electrónico es común, en realidad no es tan común externalizar el correo electrónico a seis proveedores diferentes. Tendrá que optimizar el registro SPF de alguna manera.
(Por un lado, la referencia a
aspmx.googlemail.comparece un desperdicio ya que inmediatamente solo redirige a un nombre diferente).fuente
Como la respuesta aceptada a una de las cuestiones vinculadas deja claro, muchas de las herramientas fundamentales para sistemas UNIX en efecto, hacer cumplir este límite (aunque no todos exactamente de la misma manera) por lo que cualquier aplicación SPF que los utiliza - que es casi todo en UNIX - hará cumplir estos límites también. Sistemas Windows son ley para sí mismos, y no pueden arrojar alguna luz sobre ellos.
La solución es tener una tarea programada que evalúa su cadena de registros SPF externalizados, todos ellos expresa como bloques de red IPv4 e IPv6, y las marcas que en su registro. No olvide el
-all.En su caso, desea que los clientes puedan publicar un registro SPF que luego no necesitan mantener. Una posibilidad sería que cada cliente publique un registro que contenga
redirect=spf.client1.jeffs-company.example, y luego haga el trabajo preliminar de mantener la lista de bloques de red enjeffs-company.example.El límite dificulta la externalización de su correo electrónico a seis o siete operaciones grandes; pero podría decirse que si está haciendo eso, a todos los efectos prácticos ha perdido el control de su correo electrónico de todos modos.
En algún lugar, algún día, algún programador subcontratado de cuya existencia desconocías por completo y sobre el que no tienes control perderá un punto y coma, y se enviará una tonelada de correos electrónicos falsos con tu imprimatur SPF directamente sobre él. El control total de su correo electrónico requiere un control total de su infraestructura de correo electrónico, y eso es, en mi opinión, totalmente inconsistente con tanta externalización.
fuente
Otra forma de solucionar esos problemas es observar qué software se usa exactamente para verificar la configuración de SPF. En mi caso, es cluebringer / PolicyD, que se usa
Mail::SPF::Serveral final y que acepta argumentos que relajan los límites codificados de otra manera. El problema es que Cluebringer en sí mismo no admite relajar esos argumentos actualmente , pero eso podría cambiar en el futuro y uno podría simplemente decirle a los proveedores de servicios receptores acerca de esas posibilidades para relajar sus configuraciones.Si deciden hacerlo, por supuesto, está fuera de control, pero al menos es una posibilidad.
fuente