SPF signifie Sender Policy Framework. Selon Wikipedia, SPF est un cadre qui aide à protéger les e-mails falsifiés d'un domaine donné. Il a été introduit pour la première fois au début de 2000 mais n'a été officiellement normalisé qu'en 2014, avec la publication de la RFC 7208. En termes simples, SPF fournit un moyen pour recevoir des serveurs de messagerie pour valider que le courrier électronique qui leur est envoyé est légitime, ce qui réduit le courrier électronique. SPAM.
SPF est implémenté en ajoutant plusieurs TXT Enregistrements DNS (Domain Name Server) pour un nom de domaine donné envoyant des e-mails.
Voyons comment redhat.com utilise SPF avec dig :
$ dig +short redhat.com TXT | grep spf
"v=spf1 ip4:103.23.64.2 ip4:103.23.65.2 ip4:103.23.66.26 ip4:103.23.67.26 ip4:107.21.15.141 ip4:108.177.8.0/21 ip4:13.111.0.0/16 ip4:136.147.128.0/20 ip4:136.147.176.0/20 ip4:148.105.8.0/21 ip4:148.139.0.2 ip4:148.139.1.2 ip4:148.139.2.2 ip4:148.139.3.2 ip" "4:149.72.0.0/16 ip4:149.96.1.26 ip4:149.96.13.2 ip4:149.96.132.2 ip4:149.96.133.2 include:spf1.redhat.com -all" Regardez le TXT enregistrement retourné. Vous devez comprendre quatre mots clés :
- v=spf1
- ip4 - Fournit les adresses IPv4 de tous les serveurs de messagerie à partir desquels le domaine donné peut légitimement envoyer des e-mails. Le format peut être un hôte IPv4 unique ou un réseau IPv4 avec un masque de sous-réseau CIDR.
- inclure - Fournit une approbation de sous-domaines supplémentaires pour envoyer des e-mails au nom du domaine parent.
- -tous - Spécifie que non une autre adresse IPv4 doit être considérée comme un expéditeur d'e-mail valide.
Il y a trois options pour tous :
- -tous - Également connu sous le nom de "tiret tout", encore une fois, désigne les e-mails envoyés par des adresses IPv4 non spécifiquement répertoriées dans le TXT l'enregistrement doit être rejeté.
- ~tous - Également connu sous le nom de "tilde all", désigne les e-mails envoyés par des adresses IPv4 non spécifiquement répertoriées dans le TXT l'enregistrement devrait probablement être signalé comme SPAM.
- +tous - Également connu sous le nom de "plus tout", signifie que les e-mails envoyés par toutes les adresses IPv4 d'un domaine donné sont autorisés. Ceci est fortement déconseillé.
Quand on pense à la sécurité, moins d'accès, c'est plus. Veuillez configurer les enregistrements de domaine SPF avec des serveurs de messagerie légitimes et autorisés pour l'envoi d'e-mails. Cela aide à protéger ce domaine contre les victimisations.
[ Vous pourriez également aimer : Un guide de l'administrateur système pour la configuration d'un serveur de messagerie ]
Comment ça marche
Un employé de Red Hat envoie un e-mail via un serveur de messagerie Red Hat à un destinataire Google Gmail. La couche serveur de protection des e-mails de Google effectue une requête SPF via un DNS TXT recherche d'enregistrement sur le DNS de redhat.com. Le DNS redhat.com répond avec le TXT suivant enregistrement :
"v=spf1 ip4:103.23.64.2 ip4:103.23.65.2 ip4:103.23.66.26 ip4:103.23.67.26 ip4:107.21.15.141 ip4:108.177.8.0/21 ip4:13.111.0.0/16 ip4:136.147.128.0/20 ip4:136.147.176.0/20 ip4:148.105.8.0/21 ip4:148.139.0.2 ip4:148.139.1.2 ip4:148.139.2.2 ip4:148.139.3.2 ip" "4:149.72.0.0/16 ip4:149.96.1.26 ip4:149.96.13.2 ip4:149.96.132.2 ip4:149.96.133.2 include:spf1.redhat.com -all" L'enquête Google SPF analyse la réponse, examine l'adresse du serveur de messagerie d'envoi de l'enveloppe et tente de la comparer aux adresses IPv4 de la liste fournie. S'il correspond, Google sait qu'il s'agit d'un e-mail légitime envoyé depuis un serveur de messagerie Red Hat approuvé. Si les informations ne correspondent pas, il suppose que l'enveloppe de l'e-mail a été falsifiée/altérée et la bloque ou la marque comme SPAM pour protéger le destinataire.
Comment mettre en œuvre
Pour créer un enregistrement SPF pour un nom de domaine, vous devez fournir l'enregistrement DNS suivant dans le serveur de noms faisant autorité de votre domaine.
example.com. IN TXT “v=spf1 ipv:192.168.100.200 -all” Cet enregistrement annonce désormais que les e-mails légitimes ne seront envoyés que via l'adresse IPv4 192.168.100.200 à partir du domaine example.com. Tous les autres doivent être rejetés.
[ Vous voulez tester vos compétences d'administrateur système ? Faites une évaluation des compétences aujourd'hui. ]
Récapitulez
SPF est l'une des trois options de configuration DNS courantes dont disposent les administrateurs de messagerie. Restez à l'écoute car je présenterai les options de configuration de l'authentification de message basée sur le domaine (DMARC) et de la messagerie identifiée par DomainKeys (DKIM) dans les prochains articles de blog.