Test SPF, DMARC i DKIM: sprawdź rekordy poczty firmowej

Maksymalnie dziesięć. RFC 7208 nakazuje serwerowi odbiorcy przerwać sprawdzanie SPF po dziesiątym mechanizmie wymagającym zapytania DNS i zwrócić wynik permerror. Limit liczy się łącznie, razem z zapytaniami z rekordów zagnieżdżonych, więc jeden include cudzego dostawcy potrafi zjeść od razu kilka pozycji.

Skutek przekroczenia jest gorszy, niż brzmi. Odbiorca nie ignoruje nadmiarowej części rekordu, tylko przestaje liczyć SPF w całości. Domena zachowuje się wtedy tak, jakby rekordu nie miała, a DMARC traci jedną z dwóch podstaw dopasowania. Firma zwykle nic o tym nie wie, bo nikt nie dostaje komunikatu o błędzie, po prostu rośnie odsetek wiadomości w spamie.

Jest jeszcze drugi limit, o którym mówi się rzadziej: dopuszczalne są maksymalnie dwie puste odpowiedzi, czyli zapytania kończące się brakiem wpisu. Trzecie takie zapytanie również daje permerror. Najczęściej wychodzi to po latach, gdy w rekordzie zostaje include po systemie, z którego firma dawno zrezygnowała.

SPF i DMARC leżą zawsze w tym samym miejscu, więc wystarczy o nie zapytać. Z DKIM tak nie jest. Klucz publiczny leży pod adresem złożonym z nazwy selektora, a tej nazwy nie publikuje się nigdzie w DNS domeny. Nie da się jej wywnioskować ani odczytać. Można ją tylko odgadnąć albo przeczytać z nagłówka wysłanej wiadomości.

Dlatego nasza sonda sprawdza trzydzieści selektorów i, w odróżnieniu od narzędzi anglojęzycznych, zawiera te używane w polskim hostingu. Najciekawszy jest jednoznakowy selektor x: znaleźliśmy go na własnych domenach nazwa.pl, cyberFolks, Zenbox i SeoHost, a nie sonduje go żadne popularne zagraniczne narzędzie. Jeśli Twój test DKIM u konkurencji wyszedł pusty, całkiem możliwe, że po prostu nikt nie zapytał o właściwą nazwę.

Druga pułapka to wpis wieloznaczny w strefie DNS. Niektóre domeny odpowiadają na dowolną nazwę, więc sonda selektorów zwróciłaby komplet trafień, z których żadne nie byłoby prawdziwe. Nasz test najpierw pyta o nazwę losową i, gdy dostanie odpowiedź, otwarcie mówi, że sonda nie rozstrzyga. Wolimy przyznać się do niewiedzy niż pokazać wynik, na którym nie można polegać.