فاحص سجلات SPF

ما حدّ الاستعلامات في SPF؟

سجل SPF سطر نصي في DNS يعدّد من يجوز له إرسال البريد باسم نطاقك. وتقيّمه الخوادم المستقبِلة، وبعض حدوده يلزمها أن تسأل DNS شيئًا آخر: include وa وmx وptr وexists، ومعها المُعدِّل redirect. ويضع RFC 7208 سقفًا صارمًا لذلك: على التنفيذات أن تحدّ هذه الحدود بعشرة أثناء التقييم، وإن تُجووز الحد وجب أن تعيد permerror.

وليس permerror ارتدادًا. بل يعني أن SPF لم يُقيَّم أصلًا، فيصل بريدك بلا أي اجتياز SPF وراءه، وذلك بدوره يُضعف DMARC ويُسيء التسليم بطرق لا يبلّغك بها أحد. فلا شيء يخطئ بصوت، ولا شيء يُسجَّل، ويظل السجل يبدو معقولًا تمامًا حين تقرؤه.

أما بقية الحدود فمجانية. فـall وip4 وip6 والمُعدِّل exp مذكورة في الفقرة نفسها بوصفها لا تسبب استعلامات، فسجل يعدّد ثلاثمئة مدى عناوين لا يكلّف شيئًا، بينما سجل فيه أحد عشر include معطوب أصلًا. وهذا التفاوت هو اللعبة كلها، وهذه الصفحة تريك أي حدودك ينفق من الميزانية.

كيفية الاستخدام

1. الصق السجل. قيمة TXT نفسها مبتدئةً بـ v=spf1. والأمثلة تغطي سجلًا بسيطًا، وآخر ثقيلًا، وثالثًا معطوبًا بذاته، ورابعًا حقيقيًا من أربعة حدود وهو معطوب مع ذلك.
2. اقرأ الميزانية. ثلاثة أرقام: ما ينفقه هذا السجل، والحد وهو عشرة، وكم من حدوده أوامر include كلفتها الذاتية مجهولة هنا.
3. اقرأ الفحوص البنيوية. ما يُحسم من النص وحده: غياب all، وحدود بعد all لا تُبلَغ أبدًا، وall+، وredirect ميت، وptr.

لماذا لا تستطيع هذه الأداة أن تخبرك أن سجلك سليم

كل شيء في هذا الموقع يعمل داخل متصفحك، والمتصفح لا يستطيع إجراء استعلامات DNS. فتستطيع هذه الصفحة عدّ الحدود المسبِّبة للاستعلام في السجل الذي أمامها ولا شيء غير ذلك. فكل include يكلّف استعلامًا واحدًا زائد ما يكلّفه سجله هو، وذلك الشطر الثاني يحتاج DNS.

وأردنا أن نعرف كم يهم هذا، فحلَلنا سجلات SPF لأكثر 250 نطاقًا ازدحامًا على الويب وتابعنا كل include إلى قراره. فمئة وثمانية وتسعون منها تنشر سجلًا، ولم يتجاوز أيٌّ منها عشرة استعلامات في العدّ السطحي، وأربعة تتجاوزها متى تُوبعت أوامر include فيها، فسجلها اليوم في permerror. وعدٌّ بلا DNS لم يجد واحدًا من الأربعة.

وأحد هذه الأربعة نصّه v=spf1 a mx include:iiko.ru include:amazonses.com -all. أربعة حدود. وهو زر المثال الرابع في هذه الصفحة، وتعرضه الأداة أربعةً من عشرة بلا خلل بنيوي، لأن ذلك كل ما يتاح دون سؤال DNS. وهو في الحقيقة يكلّف خمسة عشر ولا يُقيَّم.

ولهذا يُعرض الرقم أعلاه حدًّا أدنى لا حكمًا. ففي المسح كله كان ستة وثمانون من الـ198 سجلًا تُخفي استعلامات زائدة خلف أوامر include فيها، بوسيط اثنين زيادة، وبلغت خمسة عشر في أسوأ الحالات. وأي أداة تعرض عليك عدًّا سطحيًا دون قول هذا فإنما تخبرك أن سجلًا عند تسعة مرتاح وهو قد يكون عند ثلاثة وعشرين.

ما يستحق الفحص هنا، وما يحتاج محلِّلًا

كثير مما يُقرَّر يُقرَّر من النص وحده، وتلك الفحوص هي سبب فتح هذه الصفحة. هل يبدأ السجل بـ v=spf1 أصلًا، فبدونه ليس SPF ويُهمَل. وهل ينتهي بـall وبأي مُؤهِّل: فـall+ يأذن للإنترنت كله بالإرسال باسم نطاقك ونادرًا ما يكون ذلك مقصودًا. وهل بعد all شيء، حيث لن يُبلَغ أبدًا، لأن التقييم يقف عند أول تطابق وall يطابق دائمًا.

وكذلك هل يرد redirect إلى جانب all، فيصير الـredirect ميتًا، إذ لا يُستشار إلا إذا لم يطابق شيء. وهل يرد ptr، وهو ما تنصح المواصفة بتركه. وهل تجاوز السجل عشرة استعلامات قبل متابعة أي include، وذاك يقع، وإذا وقع فلا لبس فيه.

وما يحتاج محلِّلًا حقًا: المجموع الحقيقي للاستعلامات، وهل يُحلّ كل include إلى سجل فعلًا، وحدُّ الاستعلامات الفارغة، فالمواصفة تقول كذلك إن على التنفيذات أن تحدّها باثنين، وذلك لا يُعدّ دون إجراء الاستعلامات. فاستعمل لذلك فاحصًا يُجري الحل، وعامل الرقم هنا بوصفه الحد الأدنى الذي هو.

وأمر آخر لا تفعله: لا تقول شيئًا عن صحة العناوين المذكورة. فـSPF قائمة بمن يجوز له الإرسال، ولا أداة تستطيع أن تخبرك أن تلك القائمة تطابق مرسِليك الحقيقيين.

لماذا هي مجانية؟

هذا تحليل سلاسل وعدّ، يجري داخل متصفحك. فلا محلِّل يُدفع ثمنه ولا حساب يُنشأ، وغيابُ ذلك المحلِّل معلَن أعلاه صراحةً لا مخفيًّا.

ولا يُرفع شيء مما تلصقه ولا يُخزَّن ولا يُسجَّل. وسجل SPF من DNS العام فليس سرًّا، لكن أي نطاق تنظر فيه ليس شأن أحد غيرك.