Mailserver & spf records

[Barryvdh]

Beste allen,

Ik beheer een aantal websites, waarbij sommigen gebruik maken van email via de server (smtp+imap) en anderen via Google Apps.
Meestal worden via de site ook contactberichten gestuurd, maar steeds vaker willen klanten nieuwsbrieven versturen.
Om er voor te zorgen dat de mail niet gezien wordt als spam, is het dus nodig om spf-records te gebruiken, voor zover ik begrijp. Ik vroeg me af of ik op de goede richting zat, en of jullie hier nog tips over hadden.

Standaard hebben mijn domeinen het volgende spf record:

code:

v=spf1 ?all

Dit geeft dus alles 'neutral' terug. Normaal gesproken geeft dit geen problemen, maar ik weet niet of dit in alle gevallen voldoende is.

Voor Google Apps geeft Google als tip:

code:

v=spf1 include:_spf.google.com ~all

Dat is dus voor Google Apps.
Als mail via mijn eigen server gaat, kan ik dus a of mx gebruiken.
Kan ik standaard

code:

v=spf1 a mx include:_spf.google.com ~all

gebruiken, voor websites die én via de webserver willen mailen (via php scripts), én via Google Apps? Levert dit nog eventuele moeilijkheden op bij het gebruiken van eigen smtpserver (bij bepaalde providers, die poort 25 dichtgooien bijv.)?

En zitten er nadelen aan om dit standaard te gebruiken, ook als er geen Google Apps gebruikt wordt? (Geeft het dan een fout, of valt het dan terug op ~softfail). En is het veiliger om een ?all ipv een ~all te gebruiken?

[vanaalten]

Van wat ik ervan weet:

Een ontvanger van mail ziet het IP adres waar het vandaan komt, de zendende mailserver. Daarnaast staat er een afzend-adres in, bijvoorbeeld jan @ domein.nl.

De ontvanger kan nu in de DNS records van domein.nl de SPF gegevens opvragen die bij dat domein horen. Die SPF records, als ze aangemaakt zijn, specificeren exact welke IP adressen gebruikt kunnen worden om mail namens dat domein mee te versturen - elk ander IP adres *moet* dus wel een 'fout' adres zijn en dus hoogstwaarschijnlijk spam versturen.

Zoals jij het op het eind specificeert geef je dus meerdere mogelijke IP adressen op:
Het adres wat bij het A-record hoort;
Het adres wat bij het MX-record hoort;
De adressen zoals gedefinieerd in de record van _spf.google.com.

Volgens mij is dat gewoon compleet correct. Enkel als het A en MX record hetzelfde zijn kan je d'r eentje van weglaten, maar kwaad kan het volgens mij niet.

Je kan het zo breed specificeren als je wil, maar je moet in de gaten houden dat als het *te* breed is gespecificeerd, een spammer daar mogelijk profijt van heeft.
Extreem voorbeeld: je zou in je SPF record direct "ip4:128/1" kunnen specificeren, ofwel ongeveer de helft van alle IPv4 adressen die er bestaan. Dan kunnen dus ongeveer de helft van alle spammers - volgens jouw SPF specificatie - dus legitiem namens jouw domein mail versturen.

Ofwel: geef alleen de IP adressen op die daadwerkelijk namens jouw domein mail versturen - niet meer, niet minder.

Kanttekening: ik ben maar een amateur op web/mailservergebied, dus niet helemaal vertrouwen op wat ik hier intik, kan het prima mis hebben!

[Barryvdh]

Maar wordt er ook mail tegengehouden als hij ?all heeft, dus neutraal? Of wordt er dan strenger gekeken naar de inhoud van de mail of de reputatie van de server bijvoorbeeld?

En hoe zit het met je gmail/hotmail instellen om te mailen namens een ander adres (als je dus via gmail verstuurt, niet via smtp), dan valt het niet onder je a of mx, dus krijgt hij dan een melding dat het mogelijk spam is?

[ Voor 39% gewijzigd door Barryvdh op 17-07-2012 10:53 ]

[vanaalten]

Barryvdh schreef op dinsdag 17 juli 2012 @ 10:46:
Maar wordt er ook mail tegengehouden als hij ?all heeft, dus neutraal? Of wordt er dan strenger gekeken naar de inhoud van de mail of de reputatie van de server bijvoorbeeld?

Heb ik mij niet zo in verdiept, maar dat stukje geeft dacht ik inderdaad een klassificatie aan: van het uiterste geval aan de ene kant ("*DEZE* IP adressen, en van alle andere adressen moet spam zijn!") tot een hele relaxte aan de andere kant ("Eh... deze IP adressen gebruik ik, maar weet niet zeker of ik ook andere gebruik, dus als het van een ander adres komt kan het ook kloppen...").

Ofwel, in eerste instantie zou ik 'm niet te streng zetten, kan je later altijd nog bijstellen.

En hoe zit het met je gmail/hotmail instellen om te mailen namens een ander adres (als je dus via gmail verstuurt, niet via smtp), dan valt het niet onder je a of mx, dus krijgt hij dan een melding dat het mogelijk spam is?

Yep, inderdaad, dat lijkt mij wel. Dus daarvoor zou je de SPF records van gmail of hotmail, als die er zijn, moeten includen.