Как проверить и исправить уязвимость отсутствия SPF-записи/подделку электронной почты?

Отсутствие записи SPF (Sender Policy Framework) для домена может помочь злоумышленникам отправлять поддельные письма, которые будут выглядеть так, как будто они исходят от настоящего домена. Мало того, это также приведет к попаданию писем в ящик SPAM, если SPF отсутствует.

Недавно я провел сканирование уязвимостей на своем сайте с помощью Detectify и обнаружил этот критический элемент, который необходимо устранить.

Очень важно иметь SPF-запись для вашего домена, чтобы избежать попадания ваших писем в папку SPAM или избежать подмены почты.

Давайте рассмотрим следующие онлайн-инструменты для проверки SPF-записей.

Kitterman

Инструмент запроса SPF от Kitterman позволяет быстро проверить, существует ли запись SPF для домена.

MX Toolbox

MX Toolbox — это еще один инструмент проверки SPF-записей, а также множество других инструментов для поиска электронной почты.

Вот некоторые из них.

• Geekflare SPF Test
• Mail Tester
• DKIM Validator

Как уменьшить риск?

Устранение уязвимости требует добавления SPF-деталей на ваш домен в виде TXT-записи. Ваш хостинг-провайдер или поставщик почтовых решений предоставит вам данные SPF. Если у вас их нет, вы можете уточнить их у своего хостинг-провайдера.

Вот несколько примеров.

Zoho

v=spf1 mx include:zoho.com ~all

Mailgun

“v=spf1 include:mailgun.org ~all”

Если вы используете несколько почтовых решений, вы можете указать их все в одной DNS-записи. Приведенный ниже пример охватывает Google, Mailgun и Zendesk.

v=spf1 include:_spf.google.com include:mailgun.org include:mail.zendesk.com -all

Получив данные SPF, войдите в систему регистратора домена и добавьте их в качестве TXT-записи. Если вы не уверены, вы можете обратиться к своему провайдеру, и он подскажет вам. Однако если вы используете Cloudflare, то вот краткие инструкции.

• Войдите в Cloudflare
• Перейдите на вкладку DNS
• Выберите тип TXT и введите данные, как показано ниже

Распространение может занять несколько секунд, и после этого вы можете проверить SPF данные в перечисленных выше инструментах.

Теперь мой домен защищен от отсутствующего SPF, и я надеюсь, что это поможет вам защитить ваш почтовый бизнес.