☰

¿Qué hace "-all" en un registro SPF incluido (secundario)?

tag-icon • tag-icon spf
¿Qué hace "-all" en un registro SPF incluido (secundario)?

En un registro SPF, la -allopción significa "Estoy incluyendo en la lista blanca solo las máquinas/dominios que incluyo explícitamente aquí, y ningún otro servidor puede generar correo electrónico para este dominio".

Entonces, ¿qué significa cuando uno usa la include:opción en un registro SPF para incluir un segundo registro SPF, y esosecundario¿El registro SPF tiene -all? ¿Cuál es el efecto de que esté ahí?

Respuesta1

El mecanismo de inclusión activará una evaluación recursiva para el registro incluido. Si esta evaluación falla (por ejemplo, por un -todo en el registro incluido), el resultado del mecanismo de inclusión se considerará "No coincide". Entonces, en la práctica, un mecanismo -todo (o cualquier otro mecanismo con - calificador) en un registro SPF incluido no tiene ningún efecto en la evaluación del registro primario.

Se puede ver una descripción completa de cómo el mecanismo de inclusión afecta la evaluación del registro primario en la tabla de la sección 5.2 de RFC 7208 (https://www.rfc-editor.org/rfc/rfc7208#section-5.2)

Respuesta2

Para que se apruebe una verificación SPF, la dirección IP de envío debe pasar al menos uno de los mecanismos. Los mecanismos de inclusión prueban la dirección IP entrante utilizando el registro SPF incluido y "devuelven" el resultado.

Usando tu ejemplo:

a.example.com    IN TXT "v=spf1 include:b.example.com +all"
b.example.com    IN TXT "v=spf1 -all"

El registro incluido devolverá un error, ya que solo contiene un -allmecanismo. Sin embargo, el primer registro pasará porque tiene un +allmecanismo.

Usando un ejemplo más detallado:

a.example.com            IN TXT "v=spf1 ip4:1.2.3.4 mx include:spf.example.org -all"
a.example.com            IN MX  0 mailserver.example.com
mailserver.example.com   IN A   1.2.3.5
spf.example.org          IN TXT "v=spf1 ip4:4.3.0.0/16 -all"

Anotaré el resultado de cada mecanismo en el mismo orden en que se especifican en el registro. Entonces, los resultados tendrán el formato siguiente:

  • a.ejemplo.com:[ip4] [mx] [include] [-all]
  • spf.ejemplo.org:[ip4] [-all]

Con las siguientes direcciones de remitente:

1.2.3.4

  • spf.ejemplo.org ->fail fail
  • a.ejemplo.com ->pass fail fail fail

El resultado final será pass, ya que pasó al menos una verificación.

1.2.3.5

  • spf.ejemplo.org ->fail fail
  • a.ejemplo.com ->fail pass fail fail

El resultado final será pass, ya que pasó al menos una verificación.

4.3.10.20

  • spf.ejemplo.org ->pass fail
  • a.ejemplo.com ->fail fail pass fail

El resultado final será pass, ya que pasó al menos una verificación.

TL;DR:El mecanismo de inclusión se evalúa por separado y el resultado se devuelve a la evaluación del registro que lo incluyó. La evaluación de registros falla si ningún mecanismo coincide. Como finalizó su ejemplo con +all, siempre coincidirá y, por lo tanto, pasará.

Respuesta3

El -allfinal se interpreta después de manejar cualquier inclusión.

Su propósito es comunicar cómo se deben tratar los correos electrónicos que no se envían a través de los recursos enumerados.

-allsignifica descartarlos como falsificaciones, mientras que ~allsignifica que aún podrían ser legítimos y deberían ser tratados con más sospecha.

información relacionada