SPF 记录，其他查找是否可以代表我发送电子邮件

Question

查看具有 4 个域及其以下 SPF 记录的假设场景：

域名：example.com SPF 记录：v=spf1 包括：otherdomain.com ~all

域名：otherdomain.com SPF 记录：v=spf1 a include:thirddomain.com ~all

域名：thirddomain.com SPF 记录：v=spf1 ip4:1.2.3.4 包括：unsecuredomain.com ~all

域名：unsecuredomain.com SPF 记录：v=spf1 +all

• example.com 使用 otherdomain.com 代表其发送电子邮件并“软失败”任何其他域。
• otherdomain.com 使用自己的 IP 发送电子邮件，还允许 thirddomain.com 代表其发送电子邮件并“软失败”其他域。
• thirddomain.com 使用 IP 1.2.3.4 发送电子邮件，并允许 unsecuredomain.com 代表其发送电子邮件并“软失败”其他域
• unsecuredomain.com 允许任何人代表其发送电子邮件。

问题： 任何人、unsecuredomain.com 或thirddomain.com 都可以代表example.com 发送电子邮件吗？ 任何人都可以代表 thirddomain.com 发送电子邮件吗？

谢谢大家

Answer 1

我知道您在担心什么，但没关系：包含域的 all 政策不要为您自己的 SPF 政策创建后门。

• otherdomain.com 可以从其A 记录指向的任何位置发送example.com，也可以从thirddomain.com 的文字IP 发送。
• thirddomain.com 只能从其文字 IP 发送 example.com。
• unsecuredomain.com 根本无法发送 example.com。
• 任何其他来源都会从example.com 的~all 默认机制获得软故障。

已在RFC7208 section 5.2中澄清：

例如，评估引用中的“-all”指令 记录不会终止整体处理，也不会 必然会导致整体“失败”。

和

使用“包含”机制，管理外部的一组 主机可以被授权，但发送者策略的确定仍然是 原始域的 SPF 记录的函数（由 该记录中的“全部”机制）。

简而言之，仅使用all 机制供您自己记录。