Почему недостаточное количество SPF снижает уровень защиты

Недостаточное количество SPF (Sender Policy Framework) означает, что домен не имеет полного набора правил для проверки разрешённых отправителей. Без этих правил почтовые серверы не могут reliably подтвердить, что письмо действительно от имени вашего домена, что открывает путь для фальсификации отправителя, увеличения спама и снижения доверия к легитимным письмам.

Что такое SPF и как он работает

SPF — это механизм электронной почты, основанный на DNS, который позволяет владельцам доменов указывать IP-адреса или домены, которым разрешено отправлять письма от их имени. Когда входящее сообщение поступает на сервер, сервер выполняет DNS-запрос к SPF-записи домена-отправителя. Если IP-адрес отправителя совпадает с одним из разрешённых в записи, письмо считается аутентифицированным; в противном случае оно может быть помечено как нежелательное.

Эффективность SPF зависит от двух факторов: полноты записи (она должна включать всех legitимных отправителей) и правильности механизмов (например, «-all» означает жёсткую reject, «~all» — мягкий reject). Если любая из этих частей отсутствует или настроена неправильно, защита снижается.

Основные причины недостаточного SPF

• Отсутствие записей для всех легитимных отправителей. Если компания использует почтовые сервисы, облачные платформы или партнёров, но не добавила их в SPF-запись, эти отправители будут считаться неавторизованными.
• Использование «include» без контроля. «Include» позволяет делегировать право на отправку письмам от вашего домена сторонним сервисам. Непроверенные или устаревшие включения создают бреши в защите.
• Превышение лимита DNS-запросов. SPF-запись может содержать до 10 DNS-запросов (включая рекурсивные). Если запись превышает этот лимит, проверки могут быть пропущены или завершиться ошибкой, что ослабляет защиту.
• Неправильные механизмы завершения. Использование «~all» вместо «-all» означает, что несовпадающие отправители получают мягкий reject, что позволяет некоторым нежелательным письмам доходить до получателей.
• Отсутствие резервных механизмов. Без дополнительной защиты (DKIM, DMARC) SPF не может обнаружить подделки, когда атакующий изменяет подписи или использует другие методы обхода.

Как слабый SPF влияет на безопасность

Фальсификация отправителя. Без полного набора правил злоумышленник может отправлять письма, которые внешне выглядят от вашего домена, обходя базовые фильтры.

Увеличение спама и фишинга. Получатели могут доверять письмам, которые проходят базовую SPF-проверку, что увеличивает вероятность того, что фишинговые сообщения будут открыты.

Снижение доставки легитимных писем. Слишком строгие или неправильно настроенные правила могут заблокировать legitimateные письма, что негативно влияет на бизнес-коммуникации.

Ограничения SPF и почему одного SPF недостаточно

SPF проверяет только IP-адреса, которым разрешено отправлять письма. Он не обеспечивает целостности содержания письма и не подтверждает домен отправителя в заголовке. Современные атаки часто используют комбинацию методов, таких как изменение подписи DKIM или подделка заголовка «Reply-To», которые не обнаруживаются SPF.

Поэтому комплексная защита требует трёх компонентов:

• SPF для проверки разрешённых IP-адресов;
• DKIM для криптографической подписи каждого письма;
• DMARC для политики обработки писем, которые не прошли проверку, и отчетности.

Без DMARC SPF может быть проигнорирован, если сервер получателя решит принимать письма, которые не прошли SPF-проверку.

Практические шаги по проверке и улучшению SPF

1. Проверьте текущую SPF-запись. Используйте онлайн-инструменты или встроенные функции почтовых систем для проверки записи на предмет ошибок, отсутствия включений и лимита запросов.

2. Составьте полный список отправителей. Соберите все почтовые сервисы, облачные платформы, маркетинговые системы и внутренние серверы, которые отправляют письма от вашего домена. Для каждого добавьте «ip4:», «ip6:» или «include:» в запись.

3. Оптимизируйте включения. Каждое «include» должно ссылаться на доверенный DNS-узел и регулярно проверяться. Удалите устаревшие или ненужные включения.

4. Используйте правильный механизм завершения. Для максимальной защиты установите «-all». Если вам нужен резервный вариант, добавьте «v=spf1/include:backup._spf.example.com;-all».

5. Добавьте DMARC. Опубликуйте DMARC-запись (например, «v=DMARC1; p=reject; rua=mailto:dmarc@example.com»), чтобы указать получателям, как обрабатывать неудачные проверки.

6. Включите DKIM. Подпишите исходящую почту с помощью DKIM в почтовом сервере или облачном сервисе.

7. Мониторьте и итерационно улучшайте. Регулярно проверяйте отчёты DMARC, чтобы выявить неожиданных отправителей или ошибки SPF.

Типичные ошибки и как их избежать

• Забыть добавить почтовый сервис партнёра. Решение: автоматически импортировать SPF-записи из подключённых сервисов или проводить ежеквартальный аудит.
• Использовать «include» для DNS-узлов, которые позже перестали работать. Решение: регулярно тестировать включения с помощью инструментов проверки SPF.
• Достигнуть лимита из 10 DNS-запросов. Решение: объединить несколько IP-адресов в одну «ip4:» запись с маской подсети, если это возможно, или использовать «include» для групповых DNS-узлов.
• Установить «~all», чтобы избежать ложных срабатываний. Решение: сначала запустите DMARC в режиме «p=none», чтобы собрать данные, затем перейдите к «p=reject».
• Рассчитывать только на SPF. Решение: внедрите DKIM и DMARC перед тем, как полагаться на одну только SPF-защиту.

Сценарии: как улучшить защиту в разных ситуациях

Малый бизнес с облачным почтовым сервисом

Если вы используете G‑Suite или Microsoft 365, их SPF-записи уже включены в ваш домен. Убедитесь, что вы добавили «include:*_spf.google.com» (для G‑Suite) или «include:spf Office 365» (для Microsoft) и установили «-all». Добавьте DMARC-запись с политикой «reject».

Корпоративная почта с внутренней почтовой инфраструктурой

Для внутренних почтовых серверов добавьте «ip4:» в SPF-запись. Для внешних сервисов, таких как маркетинговая платформа, используйте «include:mailgun.org». Не превышайте лимит DNS-запросов; объединяйте схожие IP-адреса в один блок.

Организация с несколькими субдоменами

Каждый субдомен может иметь отдельную SPF-запись, или вы можете использовать «include:*._spf.example.com» для централизованного управления. Убедитесь, что каждый субдомен также имеет DKIM и DMARC.

Итоговый вывод: главный принцип и следующий шаг

Недостаточное количество SPF снижает защиту, потому что домен не может подтвердить все legitимные отправители, что позволяет фальсификации отправителя и нежелательным письмам доходить до получателей. Главный принцип: SPF — это только первый слой; без DKIM, DMARC и регулярного аудита защита будет неполной.

Следующий шаг — запустить быструю проверку текущей SPF-записи, составить полный список всех сервисов, которые отправляют письма от вашего домена, добавить недостающие «include» или IP-адреса и установить «-all». Затем добавьте DMARC-запись в режиме «p=none», чтобы собрать данные, и после подтверждения перейдите к «p=reject». Это обеспечит базовую защиту от фальсификации отправителя и даст вам видимость всех, кто использует ваш домен.