En tant que fournisseur d'hébergement, nous envoyons des e-mails au nom de nos clients, nous les aidons donc à configurer les enregistrements de messagerie DKIM et SPF dans leur DNS pour obtenir la délivrabilité des e-mails. Nous leur avons conseillé d'utiliser http://mail-tester.com pour tester qu'ils n'ont rien manqué, et j'aime beaucoup cet outil.
Un problème que nous avons rencontré plusieurs fois, et je n'en suis pas sûr, est la "limite" DNS sur l'enregistrement SPF basé sur le nom de domaine. Donc, si vous avez ceci:
v=spf1 a include:aspmx.googlemail.com include:campaignmonitor.com include:authsmtp.com include:mail.zendesk.com include:salesforce.com include:_hostedspf.discourse.org ~all
Tu auras
example.com ... campaignmonitor.com: Maximum DNS-interactive term limit (10) exceeded
Ainsi:
J'ai quelques questions à ce sujet.
Je compte six noms de domaine ici, pas 10, alors pourquoi est-ce qu'il y a "dix" requêtes DNS ici?Répondu iciCe terme interactif de 10 DNS limite-t-il un avertissement ou une véritable erreur? Par exemple, devrions-nous nous en soucier? Cela harcèle un peu nos clients et ils nous envoient un e-mail pour obtenir de l'aide.Répondu iciCette limite de 10 termes interactifs DNS est-elle un vrai problème sur le Web d'aujourd'hui? Comme vous pouvez le voir, ce client dispose de nombreux services d'envoi d'e-mails pour eux et ils sont tous légitimes. Peut-être que cette limite DNS a été fixée en 2000 lorsque la délégation de services de messagerie comme celui-ci n'était pas courante?
Oui, nous pouvons faire en sorte que nos clients modifient l'inclusion en IP dans l'enregistrement SPF, mais cela nous met dans une impasse si nous changeons un IP, un tas de trucs des clients se briseront. Je ne veux vraiment pas faire ça ..
Quelles sont les solutions de contournement pour cela?
la source
Réponses:
Surtout déjà répondu, veuillez noter que l'inclusion de Google de cette façon est incorrecte - vous souhaitez utiliser
_spf.google.comou encourir une pénalité pour la redirection:Cette recherche consommera 5/10 à elle seule - 4/10 est toujours nul, mais 20% de moins.
Il arrêtera le traitement et retournera une erreur permanente - c'est au moteur qui utilise le SPF de décider comment il veut traiter une erreur permanente.
Oui - sans les limites de traitement, les mécanismes SPF pourraient être utilisés comme amplificateur DoS contre un tiers ou un tiers.
Pour contourner ce problème, les e-mails peuvent provenir d'un sous-domaine de la propriété principale,
community.largecorporation.compar exemple.la source
d=subdomain.example.com, tout ira bien. En théorie. Mieux vaut le tester!En supposant que les redondances (comme les références multiples
_spf.google.comet les enregistrements auxquels il se réfère) ne sont comptées qu'une seule fois, je compte 17 recherches à partir du moment où vous avez déjà recherché l'enregistrement initial. (Voir ci-dessous.)Il refuse de rechercher tous les enregistrements nécessaires pour évaluer votre enregistrement SPF car ce serait "trop de travail". Vraisemblablement, cela signifie qu'il traitera votre domaine comme s'il n'avait pas d'enregistrement SPF (ou éventuellement le rejeterait). La spécification dit que cela se traduit par un permerror , ce qui laisse assez de latitude au destinataire pour décider quoi faire .
Je pense que la violence a augmenté plutôt que diminué, en général. Cette limite semble être censée contrecarrer les domaines d'expéditeur abusifs qui pourraient autrement submerger le destinataire avec d'énormes chaînes de SPF, pouvant conduire à DoS.
Je pense que même si l'externalisation de la messagerie électronique est courante, il n'est pas si courant d'externaliser la messagerie électronique vers six fournisseurs différents. Vous devrez en quelque sorte optimiser l'enregistrement SPF.
(D'une part, la référence à
aspmx.googlemail.comsemble inutile car cela redirige immédiatement vers un nom différent.)la source
Comme la réponse acceptée à l'une des questions liées le montre clairement, de nombreux outils sous-jacents pour les systèmes UNIX appliquent effectivement cette limite (mais pas tous exactement de la même manière), donc toute implémentation SPF qui les utilise - qui est presque entièrement sous UNIX - imposera également ces limites. Les systèmes Windows sont une loi en eux-mêmes et je ne peux pas les éclairer.
La solution consiste à avoir un travail cron qui évalue votre chaîne d'enregistrements SPF externalisés, les exprime tous sous forme de netblocks ipv4 et ipv6, et en fait votre enregistrement. N'oubliez pas le
-all.Dans votre cas, vous souhaitez que les clients puissent publier un enregistrement SPF qu'ils n'ont alors pas besoin de conserver. Une possibilité serait de demander à chaque client de publier un enregistrement contenant
redirect=spf.client1.jeffs-company.example, et vous effectuez ensuite les démarches nécessaires pour maintenir la liste des netblocks àjeffs-company.example.La limite rend difficile l'externalisation de votre courrier électronique à six ou sept grandes opérations; mais sans doute si vous faites cela, vous avez de toute façon perdu le contrôle de votre courrier électronique.
Quelque part, un jour, un programmeur sous-traité dont vous ignoriez complètement l'existence et sur lequel vous n'avez aucun contrôle va égarer un point-virgule, et une tonne de faux e-mails seront envoyés avec votre imprimatur SPF carrément dessus. Le contrôle total de vos e-mails nécessite un contrôle total de votre infrastructure de messagerie, ce qui, à mon avis, est totalement incompatible avec une telle externalisation.
la source
Une autre façon de contourner ces problèmes consiste à déterminer quel logiciel est utilisé exactement pour vérifier les paramètres SPF. Dans mon cas, c'est cluebringer / PolicyD, qui utilise
Mail::SPF::Serverà la fin et qui accepte des arguments assouplissant des limites autrement codées en dur. Le problème est que cluebringer lui - même ne prend pas en charge le relâchement de ces arguments actuellement , mais cela pourrait changer à l'avenir et on pourrait simplement informer les fournisseurs de services récepteurs de ces possibilités de détendre leurs paramètres.S'ils décident de le faire, c'est bien sûr hors de leur contrôle, mais c'est au moins une chance.
la source