email - 没有通配符 SPF 记录的站点是否容易受到子域欺骗攻击？

Question

我想到如果 SPF 记录不是递归的，域名可能容易受到来自子域的电子邮件欺骗。我的研究表明 this :

The Demon Question: What about subdomains?

If I get mail from pielovers.demon.co.uk, and there's no SPF data for pielovers, should I go back one level and test SPF for demon.co.uk? No. Each subdomain at Demon is a different customer, and each customer might have their own policy. It wouldn't make sense for Demon's policy to apply to all its customers by default; if Demon wants to do that, it can set up SPF records for each subdomain.

So the advice to SPF publishers is this: you should add an SPF record for each subdomain or hostname that has an A or MX record.

Sites with wildcard A or MX records should also have a wildcard SPF record, of the form: * IN TXT "v=spf1 -all"

(Thanks to Stuart Cheshire.)

(强调我的)

Q1:如果子域没有A/MX记录，为什么不需要添加SPF记录？

例如，我调查了 support.google.com :

dig google.com txt :

google.com. 3599 IN TXT "v=spf1 include:_spf.google.com ip4:216.73.93.70/31 ip4:216.73.93.72/31 ~all"

dig support.google.com txt :

support.google.com. 21599 IN CNAME www3.l.google.com.

dig www3.l.google.com txt :

www3.l.google.com. IN TXT

所以...， support.google.com 没有 SPF 记录.

Q2:为什么谷歌(和许多其他网站)不遵循这个建议？

Q3(奖励):如果这是一个问题，而且我不只是愚蠢，为什么没有更多的文档记录？

我能找到的唯一相关的 SE 问题是 this , 但它并没有比 openspf.org 多说什么上面的常见问题。

Answer 1

这实际上在 2015 年并不是非常相关的建议，因为自那篇文章发布以来，电子邮件领域已经发生了巨大的变化。

实际上，SPF 是一种身份验证协议(protocol)，而不是一种策略执行机制。我的意思是，特定消息可以通过、失败或不检查基于 EHLO 名称或返回路径域的 SPF。但是接收方应如何处理任何 SPF 结果取决于接收方。

电子邮件策略实现机制是 DMARC，它指定接收者应如何处理未通过 SPF 或 DKIM 身份验证的邮件。应该完全拒绝吗？隔离(通常意味着定向到垃圾邮件文件夹)？还是被视为“正常”？

与 SPF 不同，DMARC 确实具有子域继承。因此，如果未在子域上定义显式 DMARC 策略，则使用在组织域上定义的策略。因此，在您提到的特定情况下，该政策将从 _dmarc.google.com 中读取。 .这是:

v=DMARC1; p=quarantine; rua=mailto:mailauth-reports@google.com

所以你假设的电子邮件发送到 support.google.com即使没有在 support.google.com 上定义明确的 SPF 策略，也会被视为垃圾邮件

因此，如果您想确保您管理的域免受子域欺骗，请添加 DMARC 策略。