dns - ?all -all 和 ~all 在 DNS (spf) 配置中

Question

我尝试使用电子邮件营销服务配置/验证我的域 DNS。要验证 SPF，我应该添加一些代码。

我想使用各种服务，在他们提供的 TXT 中，最后，有些使用“-all”，有些使用“~all”，有些使用“?all”比如:v=spf1 include:spf.mailjet.com include:spf.sendinblue.com mx ~all

我想知道这样的两条记录是否互斥，以及 ?all -all 和 ~all 的区别是什么

Answer 1

all 机制是 SPF 记录中列出的最后一个机制，它告诉检查器如果没有其他机制与传入 IP 匹配时该怎么做。 -all 表示默认结果是硬失败，~all 表示“软失败”，意思是传达它不是通过，但也不是硬拒绝(也许是表明你应该把它放在垃圾邮件文件夹中——尽管这应该是 DMARC 的决定)。 ?all 表示它是“中立的”，这与什么都没有一样。

当这样的服务推荐 ?all 时，他们是 super 保守的，不想增加任何风险 - 这是一个“故障安全”选项，提供最小的中断，但是也没有保护。我会说这是适得其反的，最终只会让伪造发生，完全破坏了使用 SPF 的全部意义。参见 my own service's recommendations .

“正确的方法”是使用 ~all 默认值，并将您的 DMARC 记录配置为要求 DKIM 和 SPF“通过”结果。这有一个历史原因:如果遇到 -all，早期的 SPF 过滤器实现将完全停止电子邮件处理，而 DMARC 处理将没有机会做它的事情，所以更安全的做法是给一个软失败，然后让 DMARC 认为这是一个失败。

简而言之，如果您不使用 DMARC，请瞄准 -all，如果您是，请使用 ~all。