Como provedor de hospedagem, enviamos e-mails em nome de nossos clientes, para ajudá-los a configurar registros de e-mail DKIM e SPF em seu DNS para obter a entrega de e-mails correta. Nós os aconselhamos a usar o http://mail-tester.com para testar se eles não perderam nada, e eu gosto muito dessa ferramenta.
Um problema que encontramos algumas vezes, e não tenho certeza, é o "limite" de DNS no registro SPF com base no nome de domínio. Então, se você tem isso:
v=spf1 a include:aspmx.googlemail.com include:campaignmonitor.com include:authsmtp.com include:mail.zendesk.com include:salesforce.com include:_hostedspf.discourse.org ~all
Você terá
example.com ... campaignmonitor.com: Maximum DNS-interactive term limit (10) exceeded
Igual a:
Eu tenho algumas perguntas sobre isso.
Eu conto seis nomes de domínio aqui, não 10, então por que ele está atingindo "dez" solicitações de DNS aqui?Respondeu aquiEsse termo interativo de 10 DNS limita um aviso ou um erro real ? por exemplo, devemos nos importar? Está incomodando um pouco nossos clientes e eles nos enviam um email para suporte.Respondeu aquiEsse termo interativo de 10 DNS limita um problema real na web de hoje? Como você pode ver, esse cliente tem muitos serviços enviando email para eles e todos são legítimos. Talvez esse limite de DNS tenha sido definido no ano de 2000 quando delegar serviços de email como esse não era comum?
Sim, podemos fazer com que nossos clientes alterem a inclusão para IPs no registro SPF, mas isso nos impede de alterar os IPs, mas um monte de coisas dos clientes será interrompido. Realmente não quero fazer isso ..
Quais soluções alternativas existem para isso?
fonte
Respostas:
Principalmente já respondidas, observe que a inclusão do Google está incorreta . Você deseja usar
_spf.google.comou sofrer uma penalidade pelo redirecionamento:Essa pesquisa consumirá 5/10 por si só - 4/10 ainda é uma porcaria, mas 20% menos.
Ele interromperá o processamento e retornará um erro permanente - cabe ao mecanismo que usa o SPF decidir como deseja tratar um erro permanente.
Sim - sem os limites de processamento, os mecanismos SPF poderiam ser usados como um amplificador de DoS contra terceiros ou terceiros.
Como solução alternativa, os emails podem vir de um subdomínio da propriedade principal -
community.largecorporation.compor exemplo.fonte
d=subdomain.example.com, tudo ficará bem. Em teoria. Melhor testá-lo!Supondo que as redundâncias (como várias referências
_spf.google.come os registros a que se refere) sejam contadas apenas uma vez, conto 17 pesquisas a partir do ponto em que você já consultou o registro inicial. (Ver abaixo.)Ele se recusa a procurar todos os registros necessários para avaliar seu registro SPF porque seria "muito trabalho". Presumivelmente, isso significa que ele tratará seu domínio como se não tivesse registro SPF (ou possivelmente o rejeite). A especificação diz que isso resulta em permerror , o que deixa bastante aberto para o destinatário decidir o que fazer .
Eu acho que o abuso tem aumentado e não diminuído, geralmente. Esse limite parece ter como objetivo impedir domínios de remetentes abusivos que, de outra forma, podem sobrecarregar o destinatário com enormes cadeias de SPF, potencialmente levando ao DoS.
Acho que, embora a terceirização de email seja comum, não é tão comum terceirizar email para seis provedores diferentes. Você precisará otimizar o registro SPF de alguma forma.
(Por um lado, a referência a
aspmx.googlemail.comparece um desperdício, pois ela é redirecionada imediatamente para um nome diferente.)fonte
Como a resposta aceita a uma das perguntas vinculadas deixa claro, muitas das ferramentas subjacentes aos sistemas UNIX realmente impõem esse limite (embora nem todas exatamente da mesma maneira), portanto, qualquer implementação do SPF que as use - que é quase toda no UNIX - aplicará esses limites também. Os sistemas Windows são uma lei em si mesmos, e eu não posso lançar nenhuma luz sobre eles.
A solução alternativa é ter um trabalho cron que avalie sua cadeia de registros SPF terceirizados, expresse todos eles como blocos de rede ipv4 e ipv6 e faça isso em seu registro. Não esqueça o
-all.No seu caso, você deseja que os clientes possam publicar um registro SPF que eles não precisam manter. Uma possibilidade seria fazer com que cada cliente publicasse um registro que contenha
redirect=spf.client1.jeffs-company.examplee você faça o trabalho de manter a lista de netblocks emjeffs-company.example.O limite dificulta a terceirização do seu email para seis ou sete grandes operações; mas, sem dúvida, se você estiver fazendo isso, para todos os fins práticos, perdeu o controle de seu email de qualquer maneira.
Em algum lugar, algum dia, algum programador sub-subcontratado cuja existência você desconhecia completamente e sobre quem você não tem controle, perderia um ponto-e-vírgula, e uma tonelada de e-mails falsos serão enviados com seu imprimatur SPF diretamente sobre ele. O controle total do seu e-mail requer controle total da sua infraestrutura de e-mail e, na minha opinião, é totalmente inconsistente com tanta terceirização.
fonte