Hvorfor SPF, og hvordan

Forkert SPF-opsætning kan sende dine emails i spammappen

I dette indlæg vil jeg fortælle hvorfor en SPF-opsætning er vigtig, hvilke problemer den kan løse, og hvordan den i praksis laves.

Lidt teori først

Der er ét grundlæggende problem med email. Alle kan, idet de sender en email, udgive sig for hvem som helst. Jeg kan sende en email til dig fra billgates@microsoft.com, og du har ingen mulighed for at verificere, om den kommer fra mig eller Bill Gates.
Det problem har man forsøgt at løse mange gange, bl.a. med SPF-records.

SPF er en opsætning på DNS-niveau, det vil sige på det domæne, du sender fra, f.eks. microsoft.com. I DNS-opsætningen på domænet fortæller du de systemer, der tager imod emails fra dig, hvilke servere du bruger til at sende emails.

Når et modtagersystem tager imod en email fra microsoft.com, kan det slå domænet fra afsenderadressen op, tjekke SPF-opsætningen, og bekræfte, at den server det får en email fra, også optræder i SPF-recorden. Det betyder også, at du giver modtagersystemerne mulighed for at frasortere emails, der ikke kommer fra disse servere. Dermed er SPF-records gode til at forhindre phishing-forsøg o.l., da phisheren pludselig skal have adgang til dine servere for at kunne udgive sig for dig. Dermed kan jeg ikke længere udgive mig for at være Bill Gates, med mindre jeg har adgang til en af de servere, Microsoft inkluderer i SPF-recorden på microsoft.com.

I dag vægter Gmail, Hotmail osv. SPF-records, når de tager imod emails. Har du en SPF-record, gør du deres arbejde med filtrering nemmere, og det belønner de ved at lade deres antispamanalyse være mere afslappet. Derfor kan man opleve, at Gmail og Hotmail smider ens emails væk, hvis man ikke sætter SPF op.

SPF – hvordan

Problemet med SPF er, at det kræver, at man ved præcis hvilke servere, man sender emails fra. I tidernes morgen var det nemt nok, for man havde en SMTP-server, man brugte i Outlook, og en webserver, der sendte emails fra ens webshopsystem. To servere, to IP-adresser, job done.

I dag sender man emails fra supportsystemer, emailmarketingsystemer, webshopsystemer, betalingssystemer, Post Nords systemer, Trustpilot, G Service, bookingsystemer osv. Det betyder, at overblikket er svært at skabe sig.

Derfor er der en række konfigurationer for SPF-opsætningen, som gør det mindre forpligtende at opsætte SPF. En SPF-record kan f.eks. se sådan ud:

v=spf1 include:spf.shoporama.dk include:spf.ubivox.com -all

Konfigurationen er den sidste del af record’en, -all. Jeg prøver at forklare de forskellige versioner i menneskesprog:

-all: Jeg har styr på mine ting. Jeg sender fra disse servere. Får du emails fra andre servere, så smid dem væk. Slut.

~all: Jeg er ved at teste min opsætning. Jeg er ret sikker på jeg har styr på mine ting, og jeg tror jeg sender fra disse servere. Indenfor overskuelig fremtid overgår jeg til -all, når jeg er sikker på, at jeg har fået inkluderet alle de servere, jeg sender fra. Du bør ikke træffe beslutninger på grundlag af denne SPF-record, men jeg ved godt du kan finde på at gøre det alligevel, så jeg sørger for at få skiftet til -all så hurtigt som muligt.

?all: Jeg ved ikke præcis hvilke servere, jeg sender emails fra. De inkluderede er jeg ret sikker på, men får du emails fra andre servere end dem jeg inkluderer, så går det nok også.

+all: ALLE servere må sende emails på vegne af mig!

Hvis vi ser på det fra Gmail og Hotmails side, så er -all og ~all de eneste, der indikerer, at du har styr på dine ting, og dermed vil de alt andet lige have størst effekt i forhold til at komme uden om antispamsystemerne.

For at sætte SPF op, skal du enten logge ind i domæneadministrationen hos din hostingudbyder, og tilføje en DNS-record, eller blot kontakte din hostingudbyder, og bede dem hjælpe dig. Det bør være en del af deres service.

Inkluder din emailmarketingudbyder (f.eks. Ubivox – læs her hvordan), din webshopudbyder, din hostingudbyder, din supportsoftwareudbyder, Trustpilot, og alle de andre systemer, du sender emails fra, og start med ~all. Når du har kørt med opsætningen i nogle uger, og bekræftet, at du ikke har glemt nogen, kan du skifte til -all.

Brug et tool som dette for at tjekke din opsætning, hvilke servere du har inkluderet, osv.