Como configurar o SPF para vários domínios em um servidor? (também permitindo o gmail como remetente)

O SPF (Sender Policy Framework) parece ser uma boa maneira de combater spammers / spoofing.

No entanto, apesar de ler as explicações várias vezes, não estou entendendo bem como configurá-lo corretamente.

Vamos dizer que eu tenho o meu servidor em a.x.comquais hosts www.x.come b.x.come c.x.come assim por diante.

Eu também tenho a.co.uk b.net c.infoe assim por diante, cada um com uma variedade de subdomínios, todos hospedados emx.com

Para todos esses domínios e subdomínios, quero permitir que o email seja enviado de a.x.com

Também gostaria que todos permitissem o correio enviado do Gmail para todos esses domínios.

Como faço para configurar isso com o SPF?

Posso definir um registro SPF para x.com(ou a.x.com) e, em seguida, para todo o resto, basta ter um simples ponteiro de inclusão / ponteiro para x.como registro, ou seria necessário fazer diferente?

Alguém pode fornecer alguns registros SPF para o exemplo acima?

Nota: A segunda parte da minha pergunta foi respondida (use " v=spf1 include:x.com -all" para incluir / apontar para x.como registro), mas a parte principal do que definir x.compermanece sem resposta ...

Não é possível evitar a necessidade de alterar os arquivos de zona dos domínios que não sejam x.com, mas você pode evitar muitos problemas ao definir políticas comuns hospedadas em um domínio e usar a redirectpalavra-chave SPF nos outros domínios. Exemplo:

• No arquivo de zona do x.comdomínio:

_policy1 IN TXT "v = spf1 a: axcom -all"
_policy2 IN TXT "v = spf1 inclui: _spf.google.com a: axcom -all"

_spf.google.comé o registro que contém o registro SPF do Gmail. Não tenho certeza se está documentado. Teoricamente, você deveria, include:gmail.commas isso é um redirecionamento _spf.google.come pelo menos um patch SPF amplamente utilizado para o qmail não seguiu corretamente (foi corrigido em agosto de 2008, mas ainda pode ser implantado.) As duas políticas são exemplos, é claro - ter mais de um com vários níveis de rigor é extremamente útil na depuração, pois você só precisa alterar um nome abreviado no domínio de destino, em vez de copypasting propenso a erros.

• Nos arquivos de zona dos outros domínios:

@ IN TXT "v = redirecionamento spf1 = _policy1.x.com"

ou

@ IN TXT "v = redirecionamento spf1 = _policy2.x.com"

etc. Estou usando redirect, não include, para fazer com que a verificação do SPF substitua completamente o registro avaliado atualmente pelo que estou redirecionando. includenão faz isso - por exemplo, um -allno final de um includenão faz com que a avaliação seja interrompida ( includeé um grande equívoco.) Evite usar includequando quiser "alias" um registro SPF de outro domínio, pois é bastante quebradiço - se você acidentalmente esquecer o final - tudo, poderá tornar seu SPF inteiro nesse domínio ineficaz.

Editar: no entanto, observe que você precisa estar atento para permitir que os servidores do Gmail sejam remetentes. O chaptcha do Gmail foi quebrado, o que significa que é possível automatizar as inscrições de contas, o que significa que o Gmail pode ser (indiretamente) usado como uma retransmissão aberta (estou recebendo dezenas de solicitações de inscrição de spambot por semana no fórum de discussão da minha empresa, todas usando endereços de e-mail do gmail.com - e esses endereços estão ativos, permiti que alguns passassem para fins de verificação.) Além disso, qualquer pessoa com uma conta do Gmail pode ignorar a verificação do SPF se estiver familiarizado com as partes dos nomes de usuário dos endereços de e-mail nos seus domínios. .

Sim, você pode incluir a configuração de um de seus domínios nos registros SPF para todos os outros domínios. Definir o registro SPF dos outros domínios para o seguinte deve fazer o truque:

v=spf1 include:x.com -all

Você já tentou usar a ferramenta da web em http://www.openspf.org/ ? Pode tornar um pouco mais fácil lidar com isso ...

Basta digitar seu domínio na caixa superior direita e clicar no botão ir. A partir daí, você poderá configurar as coisas com pressa.

O padrão, RFC 4408 , fornece alguns exemplos muito próximos do que você deseja. Aqui está um extrato do zonefile do x.com:

@ IN TXT "v = spf1 a: axcom -all"
      No SPF "v = spf1 a: axcom -all"

www IN TXT "v = spf1 a: axcom -all"
      No SPF "v = spf1 a: axcom -all"

Notas:

• Não adicionei servidores de e-mail do Gmail porque não os conheço, pergunte às pessoas do Gmail
• 'a' é para 'endereço' (é não um registro DNS A, que inclui IPv6)
• Adicionei registros SPF, de acordo com a RFC, embora quase todas as implementações usem apenas o registro TXT

Sim, você precisa adicionar o registro SPF específico a cada domínio individualmente.

A razão para isso é que o único registro do tipo de alias (útil) no DNS é o CNAMEregistro. No entanto, o CNAMEregistro faz com que o aliasing aconteça para TODOS os tipos RR em um RRset - não há como dizer " CNAMEo registro SPF, mas não os MXregistros "