SPF (Sender Policy Framework)

SPF (Sender Policy Framework), RFC 7208 ile tanımlanan bir e-posta kimlik doğrulama standardıdır. Alan adı sahibinin, o alan adını kullanarak hangi e-posta sunucularının gönderim yapabileceğini yayımlamasını sağlar. Alıcı sunucular, gönderen sunucunun IP adresini bu listeyle karşılaştırır. SPF; DKIM ve DMARC ile birlikte bir alan adını e-posta sahteciliğine karşı koruyan üç yapı taşından biridir.

Nasıl çalışır

SPF, alan adında bir TXT kaydı olarak yayımlanır; örneğin v=spf1 include:_spf.mailprovider.example ip4:192.0.2.10 -all. include, ip4, ip6, a ve mx gibi mekanizmalar izin verilen göndericileri listeler; sondaki -all (reddet) ya da ~all (yumuşak hata) ifadesi geri kalan herkese nasıl davranılacağını belirtir. Alıcı sunucu, okuyucunun gördüğü Kimden adresini değil, zarf göndericisindeki (Return-Path) alan adını kontrol eder. SPF'nin tek başına Kimden adresi taklidini durduramamasının nedeni budur; DMARC, kontrol edilen alan adının görünen alan adıyla uyumlu olması şartını ekler. RFC 7208 ayrıca değerlendirme sırasında en fazla 10 DNS sorgusuna izin verir; bu sınırı aşan kayıtlar kalıcı hata döndürür. Yönlendirilen e-postalarda SPF sık sık başarısız olur, çünkü yönlendiren sunucu asıl alan adının listesinde yer almaz.

Örnek

Temsilî bir örnek: Kurgusal bir şirket hem kendi sunucusundan hem de bir bülten hizmeti üzerinden e-posta gönderir ve SPF kaydı ikisini de içerir. İlgisiz bir sunucudan gönderilen sahte bir mesaj SPF kontrolünden geçemez. DMARC yaptırım düzeyinde olduğu için alıcı sunucu bu mesajı reddeder.

Sorunlar nasıl fark edilir

• Alan adında SPF kaydı yoktur ya da kayıt herkese izin veren +all ile biter.
• İç içe geçmiş çok sayıda include, kaydı sorgu sınırının ötesine taşır.
• DMARC raporları, meşru hizmetlerin SPF kontrolünden geçemediğini gösterir.
• Hiç e-posta göndermeyen alan adlarında v=spf1 -all kaydı yoktur.
• Aynı alan adında birden fazla SPF kaydı vardır; bu geçersiz bir durumdur.

Markalar ne yapabilir

• Sizin adınıza e-posta gönderen tüm hizmetleri listeleyin ve her birini kayda ekleyin.
• Kaydı -all ya da ~all ile bitirin, son kararı DMARC yaptırımına bırakın.
• Kullanılmayan include'ları kaldırarak sorgu sayısını sınırın altında tutun.
• E-posta göndermeyen alan adlarınızda v=spf1 -all yayımlayın.

SPF yalnızca birebir alan adınızı korur. Benzer alan adları izleme ve kaldırma gerektirir; Phishvoid'in yaptığı iş de budur, ekiple iletişime geçebilirsiniz. Kurulum için SPF, DKIM ve DMARC yazısına bakın.

Devamını okuyun: SPF, DKIM ve DMARC ile Markanız Adına Sahte E-postayı Önleyin