SPF kontrola nepracuje s hlavičkou From:, ale s adresou mail sender.
Samotné SPF ano. Ale dnes se SPF používá jako součást DMARC, kdy doména validovaná přes SPF nebo DKIM vstupuje do validace adresy From e-mailu – DMARC Alignment kontroluje, zda doména ve From odpovídá doméně SPF nebo DKIM.
Můžete narazit i na názor, že při přeposílání má přeposílající převzít za tento mail odpovědnost tak, že adresu mail sender změní na svoji vlastní. (A adresu From: ponechá beze změny.) To je také možné řešení.
K tomu také slouží SRS. Přepisovat obálkového odesílatele je správně, špatně je naopak to, že se na to dříve kašlalo. Obálkový odesílatel je ten, kdo je odpovědný za doručení daného e-mailu a komu se tedy musí vracet případné chyby.
Představte si, že budu mít třeba adresu
josef@example.org, a všechny e-maily na ní směrované budu přeposílat na
josef@example.com. Když nebudu přepisovat obálkového odesílatele, přepošle se e-mail na
josef@example.com s původním odesílatelem, třeba
alice@example.net. Když bude problém s doručením do cílové schránky, třeba bude plná, pošle se na
alice@example.net chyba o nedoručení na
josef@example.com. Ale co má Alice s tou chybou dělat? Ona žádný e-mail na adresu
josef@example.com neposílala, nemusí vědět, komu ten e-mail patří.
S následným nástupem DKIM, DMARC a kontroly alignmentů všeho druhu mají ale obě dvě řešení své nedostatky.
Jaké nedostatky má DKIM? Pokud někdo nepřepisuje hlavičku v e-mailu, které přepisovat nemá, tak DKIM podporuje z principu všechny možné scénáře použití e-mailu.
Obvykle ale předpokládají, že DMARC politika odesilatele nevyžaduje současně splnit SPF i DKIM.
Ona to ani vyžadovat nemůže. Jediný problém nastává, pokud někdo používá jenom SPF.
Chcete-li plnit DMARC zcela důsledně, tak dojdete k závěru, že adresy From:, mail sender a doménové jméno z DKIM podpisu musejí být prakticky stejné, resp. ve vzájemném souladu/alignmentu.
Pro důsledné plnění DMARC stačí používat DKIM.
SPF je přežitek z doby, kdy byla snaha vyhnout se kryptografii a validovat e-maily podle toho, kdo je odesílá. Naráželo to na dva problémy – jednak spousta serverů při přeposílání neměnila odesílatele v obálce e-mailu. To se dá spravit třeba právě přes SRS. Ale hlavně tím byla validovaná obálková e-mailová adresa, kterou uživatel nevidí. Uživatele zajímá From z e-mailu. Mohlo to teoreticky fungovat tak, že důvěřujete tomu, kdo e-mail přeposílá, a že on validoval SPF. Jenže někdy chcete přeposílat všechno, i spam a e-maily s nevalidním SPF, takže by to přeposílající musel nějak signalizovat. A na to standardní mechanismus není.
Tohle se snažil napravit DMARC alignment, který ovšem při použití se SPF zase rozbil přeposílání, při kterém From z e-mailu neodpovídá obálkovému odesílateli.
Používejte při vytváření e-mailu DKIM, pak s e-maily nebudou problémy při DMARC validaci ani při přeposílání.
10 Odpovědí
1811 Zhlédnutí