SPF [Sender Policy Framework] – czym jest i jak stosować

SPF – co to?

SPF to rodzaj zabezpieczenia poczty 📩 email, a dokładniej mówiąc serwera pocztowego wysyłającego wiadomości elektroniczne za pomocą protokołu SMTP. Nazwa SPF pochodzi od skrótu Sender Policy Framework co należy tłumaczyć jako infrastruktura zasad dotyczących nadawców poczty email. Samo zabezpieczenie SPF jest niekomercyjnym projektem [open-spf.org], którego celem powstania była ochrona serwerów pocztowych przed przyjmowaniem nieuwierzytelnionych wiadomości email pochodzących z niedozwolonych źródeł. Dzięki temu odbiorca ma pewność, że wiadomość pochodzi od odbiorcy, a nadawca, że nikt nie podszywa się pod jego domenę wysyłając np. spam do adresata.

SPF to podstawowe i jedno z kilku zabezpieczeń pozwalających na wzmocnienie ochrony serwera poczty SMTP oraz wiadomości email. Tak naprawdę dopiero wraz z zabezpieczeniami takimi jak DKIM i DMARC pozwala na skuteczną ochronę przed atakami takimi jak phising. Nie oznacza to jednak, że nie warto wdrożyć na swoim serwerze zabezpieczenie SPF – wręcz przeciwnie, należy to zrobić nawet jeżeli Twój usługodawca nie oferuje innych opcji ochrony poczty. Sender Policy Framework oferowane jest obecnie praktycznie na każdym hostingu strony internetowej, dlatego koniecznie warto zainteresować się tym tematem.

Jakie korzyści otrzymasz stosując SPF?
✅ SPF pomaga ochronić serwer pocztowy przed nieautoryzowanym użyciem
✅ SPF wraz z innymi zabezpieczeniami zwiększa dostarczalność poczty email
✅ SPF zwiększa wiarygodność domeny oraz adresu IP, z którego wysyłane są wiadomości
✅ SPF chroni odbiorcę oznaczając jako spam wiadomości pochodzące z nieuwierzytelnionych serwerów SMTP
✅ SPF chroni domenę internetową przed atakiem typu phising

Ok, to już wiesz 💁‍♂️ czemu warto korzystać z SPF, a teraz opiszemy Ci jak w praktyce działa to zabezpieczenie.

Jak działa SPF [Sender Policy Framework]?

Zabezpieczenie SPF 📩 pozwala chronić domenę przed nieuprawnionych wykorzystaniem jej do wysyłania poczty email. Dodatkowo, wszystkie wiadomości, które pochodzą z podszywającego się serwera SMTP zostaną oznaczone jako SPAM przez serwer poczty przychodzącej odbiorcy. Sama polityka SPF jest bardzo prosta w użyciu i sprowadza się do jednego prostego wpisu umieszczanego w rekordach domeny DNS, jednak o tym napiszemy w dalszej części tego poradnika.

Jak w praktyce działa SPF? Każda wiadomość zanim zostanie przyjęta przez serwer pocztowy odbiorcy zostaje sprawdzona pod kątem zabezpieczeń SPF, DKIM i DMARC, ale także adresu IP, z którego pochodzi, czy też domeny internetowej. Wszystko ma na celu ochronę odbiorcy przed zagrożeniami w sieci, a także odpowiednie zaszufladkowanie wiadomości np. jako reklama, czy też spam.

W momencie, gdy wiadomość email zostaje wysłana z naszego serwera pocztowego, który określmy jako serwer 🅰️ serwer odbiorcy, który nazwijmy 🅱️ sprawdza, czy serwer pocztowy, z którego została ona wysłana, czyli 🅰️ jest uprawniony do realizacji tej wysyłki. Serwer 🅱️ w tym celu odpytuje rekordy DNS sprawdzając, czy znajduje się wśród nich wpis TXT odpowiadający za politykę SPF.

Rekord TXT SPF zbudowany jest w następujący sposób:

1️⃣ Pierwsza część rekordu zawiera wersję SPF i wygląda tak:

v=spf1

2️⃣ Ta część określa jaki rodzaj serwera może być uprawniony do wysyłki wiadomości email:

a

Serwery oznaczone w domenie jako rekordy A są upoważnione do wysyłania wiadomości z domeny.

mx

Serwer oznaczony w domenie jako rekord MX jest upoważniony do wysyłania wiadomości z domeny.

3️⃣ Następna część zawiera dozwolone adresy IPv4 serwera pocztowego np.:

ip4:188.210.221.79

lub IPv6:

ip6:2a05:d018:e3:8c00:bb71:dea8:8b83:851e

4️⃣ Kolejna część rekordu SPF zawiera tag organizacji, która może wysyłać w Twoim imieniu pocztę email np.:

include:siriuspro.pl

5️⃣ Na samym końcu znajduje się informacja o tym w jaki sposób ma być realizowana polityka rekordu SPF:

-all

Serwer pocztowy SMTP musi znajdować się na liście rekordu SPF. W innym wypadku wiadomość zostanie odrzucona przez serwer odbiorcy.

~all

Jeżeli serwer pocztowy SMTP nie znajduje się na dozwolonej liście to wiadomość zostanie przyjęta, ale oznaczona jako niewiarygodna tj. spam.

+all

Najmniej bezpieczna opcja pozwalająca na autoryzowaną wysyłkę wiadomości także z serwerów, które nie znajdują się na liście SPF. Nie zalecamy jej użycia.

☑️ W efekcie końcowym rekord SPF może wyglądać tak:

v=spf1 a mx ip4:188.210.221.79 ip6:2a05:d018:e3:8c00:bb71:dea8:8b83:851e include:siriuspro.pl -all

I to tyle jeżeli chodzi o działanie SPF. Polityka ta nie wymaga żadnej pracy po stronie odbiorcy, a jedynie po stronie nadawcy serwera pocztowego SMTP. Jak wdrożyć więc SPF? 🤓 Przeczytasz o tym poniżej.

Przeczytaj także nasz poradnik, z którego dowiesz się jak zwiększyć dostarczalność maili.

SPF krok po kroku

Przede wszystkim musisz sprawdzić, czy Twój usługodawca np. oferujący np. hosting WordPress obsługuje SPF. Jeżeli tak to najprawdopodobniej rekord TXT znajduje się już w rekordach DNS domeny i nie musisz nic robić. Jeżeli nie to musisz dodać wspomniany rekord SPF do strefy DNS swojej domeny.

Na przykładzie panelu DirectAdmin musisz udać się do sekcji Zarządzanie strefą DNS, a następnie dodać tam rekord TXT SPF.

Rekord TXT dla polityki zabezpieczeń SPF możesz dodać poniżej aktualnych rekordów:

Rekord SPF musi zawierać w swojej nazwie domenę np. siriuspro.pl, a w treści politykę bezpieczeństwa tak jak na poniższym przykładzie:

v=spf1 mx ip4:188.210.221.79 include:siriuspro.pl -all

Na sam koniec wystarczy dodać rekord TXT do DNS domeny i gotowe ☺️ Teraz sprawdźmy jeszcze, czy SPF został poprawnie skonfigurowany wysyłając wiadomość na dowolną skrzynkę Gmail. Gdy wiadomość dotrze otwórz jej oryginał i sprawdź co Gmail mówi o tej wiadomości:

W tym momencie interesuje Ciebie wiersz SPF, w który PASS oznacza, że wiadomość została poprawnie zweryfikowana przez serwer poczty przychodzącej. FAIL natomiast mówi o tym, że rekord TXT jest źle skonfigurowany albo serwer poczty wychodzącej SMTP nie jest uwierzytelniony do jej wysyłki. Taka wiadomość może trafić także do spamu.

Pamiętaj, że wprowadzone zmiany w strefie DNS domeny mogą propagować się nawet do 24 godziny.

Dlatego zanim przetestujesz działanie zabezpieczenia SPF upewnij się, że rekordy TXT zostały zaktualizowane na całym globie 🌎 dla Twojej domeny. Czyli po prostu poczekaj 24 godziny ☺️

Uruchom SPF razem z nami

To tyle w artykule na temat SPF. Mamy nadzieję, że wszystko jest już dla Ciebie jasne, a Ty wiesz, że warto wdrożyć SPF dla swojej poczty elektronicznej. Jeżeli nie wiesz jednak jak to zrobić lub chcesz zlecić to zadanie nam to napisz do nas za pomocą formularza kontaktowego. Chętnie pomożemy Ci w tym oraz innych pracach zwłaszcza tych związanych z WordPress 🤓 do usłyszenia ✋