☰

¿Es posible utilizar las palabras clave a, mx e incluir juntas en SPF?

tag-icon • tag-icon email spf txt-record
¿Es posible utilizar las palabras clave a, mx e incluir juntas en SPF?

¿Es posible utilizarlos en el mismo registro SPF? Por ejemplo:

Texto del valor:v=spf1 mx a ptr ip4:46.16.60.0/23 a:cdmon.com mx:mail.solarmora.com include:srv.cat ~all

Respuesta1

Sí, puedes combinar todas esas palabras clave, solo asegúrate de no alcanzar el límite de búsqueda como máximo.10 búsquedas de registros de direcciones:https://www.rfc-editor.org/rfc/rfc7208#section-4.6.4

  • Las palabras clave a y ptr dan como resultado una búsqueda
    • la palabra clave ptr está en desuso y ya no debería usarse
  • la palabra clave mx genera tantas búsquedas como dominios devuelve el registro MX
  • las includepalabras clave incluyen el registro SPF al que se hace referencia, que es:
$ dig srv.cat TXT +short
"v=spf1 a a:include"

Mientras que a:includeconduce a un error ya que el dominio includeno existe.

Respuesta2

Es técnicamente posible combinar cualquier mecanismo, pero cualquier otro que no sea el ip4mecanismo ip6y provocará búsquedas de DNS adicionales, y existe un límite general de 10 consultas de DNS (RFC 7208, 4.6.4). Cada aprovoca una búsqueda adicional y cada mxvarias, dependiendo de la cantidad de servidores MX detrás de ella. Además, includees posible que haya un mecanismo encadenado que también se cuente hasta el límite.

Deberías pensar cuidadosamente qué servidores realmente envían correo electrónico desde el dominio comoremitente del sobrey limite su registro SPF para que solo contenga los servidores requeridos. Como su registro SPF ya está armado, parece que no tiene este conocimiento e intenta agregar todo "por si acaso". La póliza termina con ~all, lo que hace que todo lo demás sea solofallo suave. Esto no previene el abuso de manera eficiente; considere usar -all, en su lugar.

También,no utiliceptr(RFC 7208, 5.5):

Nota: Este mecanismo es lento, no es tan confiable como otros mecanismos en casos de errores de DNS y supone una gran carga para los servidores de nombres .arpa. Si se utilizan, deben existir registros PTR adecuados para los hosts del dominio y el ptrmecanismo DEBE ser uno de los últimos mecanismos verificados. Después de muchos años de experiencia en la implementación de SPF, se ha llegado a la conclusión de que es innecesario y que en su lugar deberían utilizarse alternativas más fiables. Sin embargo, todavía se utiliza como parte del protocolo SPF, por lo que check_host() las implementaciones compatibles DEBEN admitirlo.

información relacionada