Sådan virker opslaget
Når en mailserver modtager en mail, der hævder at komme fra dinvirksomhed.dk, slår den domænets SPF-record op i DNS. Recorden er en tekstlinje, der lister de godkendte afsendere. Jeres mailudbyder, nyhedsbrevssystem og faktureringssystem.
En typisk record ser sådan ud:
v=spf1 include:spf.protection.outlook.com -all
Oversat: kun Microsoft 365 må sende for dette domæne, alt andet skal afvises.
Hvad SPF ikke beskytter
SPF validerer den tekniske afsenderadresse, altså envelope from eller Return-Path. Ikke den adresse, modtageren ser i sit mailprogram. En angriber kan derfor bestå SPF på sit eget domæne og alligevel vise jeres i Fra-feltet.
Dertil kommer, at SPF ofte knækker, når mails bliver videresendt.
Derfor står SPF aldrig alene. Den er ét af tre ben sammen med DKIM og DMARC, og det er først DMARC, der binder SPF-resultatet sammen med det synlige afsenderdomæne.
De fejl vi ser oftest
Glemte systemer er den klassiske. CRM’et eller bogføringssystemet sender mails, som fejler, og ingen opdager det, før nogen strammer politikken.
Så er der de ti DNS-opslag. SPF har en hård grænse, og fire-fem leverandører er nok til at ramme den. Når loftet er nået, fejler SPF for al post, også den ægte.
Hvor mange opslag jeres egen record bruger, kan ikke ses i recorden. Det kræver, at hver include følges ned, også dem der gemmer sig hos leverandørerne. Det gør vores SPF-tjek, og det siger også til, hvis en henvisning ikke svarer.
+all eller ?all i enden af recorden tillader reelt alle. Det ses oftere, end man skulle tro.
Og flere SPF-records på samme domæne, hvor kun én er gyldig. Modtageren gætter ikke. Den afviser.
En fejlkonfigureret SPF er værre end ingen. Legitime mails lander i spam, og I opdager det først, når kunderne klager.
Tre af de elleve domæner, vi har gennemgået den seneste måned, havde et konkret SPF-problem. Ét manglede recorden helt. Ét lå over grænsen på ti opslag og fejlede allerede. Og ét lå så tæt på, at næste nye leverandør ville have væltet det.
Skal nogen holde øje med det løbende, er det den opgave, vi løser under DMARC og mailspoofing.