Ondrej Sevecek's Blog

Tak to je nepěkná vlastnost. Věděli jste, že SPF záznamy, pokud používáte FAIL, tak neplatí pro přeposlané maily? Já jsem měl svůj SPF záznam ve znění:

v=spf1 mx -all

což znamená, že moje maily mohou odcházet pouze z adresy mého MX SMTP serveru/záznamu. Dobře. Jenže co když tento můj mail někdo po cestě jenom přepošle - tedy klidně jen nějaký jiný SMTP server to přeposílá někam dále - prostě si někdo nastaví forward.

Tak bohužel. Příjemcův SMTP server kontroluje jenom bezprostřední odesílatelovu IP adresu. Kterou vcelku přirozeně nemůžu mít ve svém SPF záznamu. Takových přeposílatelů může být milión. Pěkně je to popsáno na wikipedii ze které cituji:

FAIL and forwarding

SPF does not allow plain message forwarding. When a domain publishes an SPF FAIL policy, legitimate messages sent to receivers forwarding their mail to third parties may be rejected and/or bounced if all of the following occur:

This is a necessary and obvious feature of SPF – checks behind the "border" MTA (MX) of the receiver cannot work directly.

Publishers of SPF FAIL policies must accept this potential problem. They should test (e.g., with a SOFTFAIL policy) until they are satisfied with the results. See below for a list of alternatives to plain message forwarding. 

Řešení

Ach jo. Nějak jsem myslel, že by to mohlo kontrolovat celou cestu toho mailu. A ne jen posledního odesílatele.

Takže přecházím na SOFTFAIL:

v=spf1 mx ~all

Poděkování

A musím teda ještě jednou poděkovat za neuvěřitelně kvalitní podporu na seznam.cz. Normálně jsem se přihlásil na jejich online čet. Trvalo 30sec. než se mě ozvala nějaká ženská. Napsal jsem problém a dostal kvalifikovanou odpověď za další 2 minuty. Tak to je žrádlo.

Když se to srovná třeba s těmi 14 dny co jsou běžné u velkých firem (nebudeme jmenovat), po nichž se vám ozve nějaký ind, co zvládá maximálně myšování, klávesnicování a klikání :-)