Sprawdź rekord SPF, rozwiń każdy include i policz zapytania DNS względem limitu 10
Runs in your browser. Only the lookup you start is sent to cloudflare-dns.com or dns.google; nothing else leaves your device.Sprawdzanie SPF odczytuje rekord TXT z listą serwerów, które mogą wysyłać pocztę domeny, podąża za każdym include i redirect i liczy zapytania DNS. RFC 7208 pozwala na najwyżej 10 zapytań i 2 puste; rekord przekraczający którykolwiek limit nie przechodzi u żadnego odbiorcy, choćby wyglądał poprawnie.
Ta strona została przetłumaczona maszynowo z angielskiego oryginału. Tłumaczenie nie zostało jeszcze sprawdzone przez człowieka, dlatego wiążąca jest wersja angielska. Przeczytaj angielski oryginał
Wpisz domenę, np. example.com, w polu Domena.
Naciśnij Sprawdź SPF, aby odczytać rekord i przejść przez każdy include.
Pod werdyktem sprawdź liczbę zapytań DNS z 10 i to, czym kończy się rekord.
Przeczytaj sekcję Rozwinięte, każde zapytanie numerowane, aby zobaczyć, który include dodaje najwięcej zapytań.
Naciśnij Kopiuj drzewo, aby zachować rozwinięty rekord.
Po wpisaniu domeny strona pyta publiczny resolver DNS-over-HTTPS (Cloudflare lub Google, do wyboru) o jej rekordy TXT, wybiera ten, który zaczyna się od v=spf1, i czyta go człon po członie. Strona podąża za każdym include: i redirect=, a rekordy, na które wskazują, czyta w ten sam sposób, więc całe drzewo dozwolonych sieci mieści się na jednym ekranie.
Liczy się liczba zapytań DNS. Sekcja 4.6.4 RFC 7208 ogranicza sprawdzenie do 10 członów wymagających DNS: include, a, mx, ptr, exists i redirect liczą się po jednym, gdziekolwiek są w drzewie, a ip4, ip6 i all nie liczą się wcale. Każdy liczony człon jest w drzewie numerowany, więc gdy rekord przekracza limit, widać, który include go przekroczył. Zapytania, które nic nie znajdują, czyli puste zapytania (void), są ograniczone do 2, a nazwa, która już nie istnieje, jest oznaczona jako void.
Werdykt mówi, co naprawdę zrobią odbiorcy: dwa rekordy SPF pod jedną nazwą to błąd trwały, +all pozwala każdemu wysyłać jako ta domena, ?all lub brak all nie daje odpowiedzi dla niewymienionych serwerów, ptr jest odradzany, a człony po all nigdy nie są czytane. ~all prosi odbiorców o oznaczanie poczty z niewymienionych serwerów; -all prosi o jej odrzucenie. Każda linia podaje sekcję RFC 7208, z której pochodzi.
Czego nie robi: sprawdza rekord, a nie wiadomość. Człony z makrami, takimi jak %{i}, są wypełniane adresem nadawcy każdej wiadomości, więc są liczone, ale nie odpytywane. Nie powie, czy adres konkretnego serwera jest objęty rekordem, chyba że ten adres w nim występuje.
Karta generatora tworzy rekord z wybranych opcji, z include dla Google Workspace i Microsoft 365 udokumentowanymi przez tych dostawców, i pokazuje, ile zapytań zużywa przed zapytaniami samych dostawców.
Wpisana domena jest wysyłana do wybranego resolvera, bo bez niej zapytanie jest niemożliwe. Nic więcej nie opuszcza urządzenia.
RFC 7208 pozwala odbiorcy wykonać najwyżej 10 zapytań DNS przy sprawdzaniu jednego rekordu SPF, licząc każdy include, a, mx, ptr, exists i redirect w całym drzewie. Powyżej 10 wynikiem jest błąd trwały i SPF nie przechodzi dla żadnej wiadomości, nawet z serwerów wymienionych w rekordzie.
Oba są poprawne. Rekord kończący się na -all prosi odbiorców o odrzucanie poczty z niewymienionych serwerów; ~all prosi o jej przyjęcie, ale z oznaczeniem jako podejrzana. Wiele domen zaczyna od ~all, dopóki nie znajdzie wszystkich nadawców, a potem przechodzi na -all. Zakończenie na +all lub brak all nie daje żadnej ochrony.
Nie. RFC 7208 wymaga, aby domena publikowała dokładnie jeden rekord TXT zaczynający się od v=spf1. Przy dwóch odbiorcy nie mogą wybrać i zwracają błąd trwały, więc SPF nie przechodzi dla całej poczty. Należy połączyć je w jeden rekord, zachowując każdy include i adres z obu.
Człon ip4 lub ip6 zawiera już zakres adresów, więc jego sprawdzenie nie wymaga zapytania DNS. Include, a, mx, exists, ptr i redirect potrzebują co najmniej jednego zapytania, aby ustalić, co oznaczają. Zastąpienie stabilnego include jego zakresami adresów to typowy sposób, aby zejść poniżej 10.
Tak, nazwa domeny trafia do wybranego publicznego resolvera DNS, Cloudflare lub Google, bo zapytanie DNS jej wymaga. Resolver widzi zapytane nazwy i adres IP, jak przy każdym zapytaniu DNS. Nic więcej nie opuszcza urządzenia, a ta witryna nie przechowuje niczego o sprawdzeniu.
Puste zapytanie to zapytanie DNS, które nic nie znajduje: nazwa nie istnieje albo istnieje bez rekordu żądanego typu. RFC 7208 prosi odbiorców, aby dopuszczali najwyżej 2, bo rekord pełen martwych nazw to częsty atak na odbiorców. Należy usunąć nazwy, które już nie istnieją.
Nadal coś nie działa? Zapytaj o narzędzie Sprawdzanie SPF a odpowiedzieć może każdy, kto zna odpowiedź. Konto nie jest potrzebne.