SPF — защита от подделки почты¶

SPF (англ. Sender Policy Framework — «структура политики отправителя») — механизм аутентификации электронной почты, позволяющий владельцу домена указать, какие почтовые серверы имеют право отправлять письма от имени этого домена. Технология описана в стандарте RFC 7208 и применяется для борьбы с подделкой адреса отправителя, спамом и фишингом. SPF относится к семейству технологий проверки подлинности почты наряду с DKIM и DMARC.

¶Назначение и принцип работы

Основная проблема электронной почты — отсутствие встроенной проверки отправителя в базовом протоколе SMTP. Поле «От» (From) в письме можно указать произвольно, поэтому злоумышленники подделывают адреса банков, госорганов и известных компаний. SPF решает эту задачу через публикацию в DNS специальной записи, в которой перечислены IP-адреса и хосты, уполномоченные отправлять почту от имени домена.

Получающий сервер при входящем письме:

1. Извлекает домен из адреса отправителя (в конверте SMTP).
2. Запрашивает TXT-запись этого домена в DNS.
3. Сравнивает IP-адрес отправившего сервера со списком, указанным в записи.
4. Возвращает один из результатов проверки и, в зависимости от политики, принимает, помечает или отклоняет письмо.

¶Формат SPF-записи

Запись размещается в DNS как TXT-строка, начинающаяся с префикса v=spf1. Пример:

`` v=spf1 ip4:192.0.2.0/24 include:_spf.example.net -all ``

Основные элементы записи:

Перед каждым элементом может стоять квалификатор — + (разрешить, по умолчанию), - (отклонить), ~ (пометить как подозрительное), ? (нейтрально). Жёсткая политика -all предписывает отклонять письма из неразрешённых источников.

¶Результаты проверки

Стандарт определяет несколько возможных исходов: pass (адрес разрешён), fail (запрещён), softfail (вероятно запрещён), neutral (нет однозначного решения), none (записи нет), permerror и temperror (ошибки записи или временные сбои DNS). Решение о судьбе письма принимает получающая сторона с учётом политики DMARC.

¶Ограничения

SPF проверяет только адрес в конверте SMTP, а не заголовок «От», видимый пользователю. Если письмо пересылается через промежуточный сервер, исходный IP меняется и проверка может не пройти. Существенны и технические лимиты: число DNS-запросов при разборе записи ограничено десятью, а сама запись не должна превышать 255 символов в одной строке. Из-за этого крупные организации с множеством поддоменов используют сложные цепочки include, которые легко превышают лимит.

¶Место в экосистеме аутентификации

SPF работает совместно с DKIM (цифровая подпись писем) и DMARC (политика обработки и отчётность). DMARC связывает результаты SPF и DKIM с доменом из заголовка «От» и позволяет владельцу получать отчёты о попытках подделки. Ни одна из технологий по отдельности не гарантирует полной защиты, поэтому на практике их применяют комплексно.

¶Практическое значение

Для организаций корректная SPF-запись снижает риск попадания легитимных писем в спам и затрудняет подделку домена. Крупные почтовые провайдеры всё чаще требуют наличия SPF и DMARC для массовых рассылок. Настройка записи требует аккуратности: ошибки в синтаксисе или лишние include приводят к ложным срабатываниям и блокировке нормальной переписки.