SPF/TXT record niet geldig

[WoBBeL]

Ik krijg op de een of andere manier onderstaand SPF record (staat in m'n TXT van de DNS) niet gevalideerd mijn inziens heeft dit record er altijd al zo in gestaan, maar op de een of andere manier valt mijn nameserver er over (en alle online validators). Sommigen zeggen dat de -all niet goed is, maar dat staat er al sinds de begintijd in.

Iemand die mij wat helderheid kan verschaffen?

code:

sorry even verwijderd ivm info

[ Voor 28% gewijzigd door WoBBeL op 19-09-2016 15:15 ]

[WoBBeL]

Ah, na het posten van het SPF record op GoT bleek het - streepje vervangen door een raar ASCII karakter...copy/pasten naar kladblok had dit niet opgelost...maar GoT wel

[TWFpa2Vs]

je gaat sowieso over het limiet van 10 heen!

[WoBBeL]

TWFpa2Vs schreef op vrijdag 13 mei 2016 @ 08:36:
je gaat sowieso over het limiet van 10 heen!

Is dat een limiet, of iets wat voorgeschreven als "good practice"? Er zijn veel andere partijen/servers die mail namens ons versturen helaas.

[TWFpa2Vs]

hard limiet

"SPF implementations MUST limit the number of mechanisms and modifiers that do DNS lookups to at most 10 per SPF check, including any lookups caused by the use of the “include” mechanism or the “redirect” modifier. If this number is exceeded during a check, a PermError MUST be returned. The “include”, “a”, “mx”, “ptr”, and “exists” mechanisms as well as the “redirect” modifier do count against this limit. The “all”, “ip4”, and “ip6” mechanisms do not require DNS lookups and therefore do not count against this limit. Processing limits"

je krijgt dus een SPF error bij het controleren, een moderate of low check zal dit gewoon accepteren maar een strikte check kan je mail als spam classificeren. Op lange termijn is SPF niet houdbaar, alleen met de office365 include zit je al bijna op 10. Allemaal losse spf domeinen om onder die 10 te kunnen blijven is ook een bewerkelijke oplossing, DKIM misschien?

[WoBBeL]

DKIM is mij volledig onbekend...ik heb er al wat adressen uit kunnen gooien, maar ik blijf boven de 10 komen, en dat ga ik écht niet naar beneden krijgen (Zeker niet vanwege de includes).

De nameservers valideren nu wel weer, maar met de warnings helaas voor de limiet...helaas.

[Dennism]

In het geval van TS die limiet toch niet van toepassing omdat hij maar 2 DNS lookups heeft, en IP4 adressen niet tellen voor de limiet?

Tenzij er natuurlijk een sloot aan A / MX records in de DNS staan.

[ Voor 20% gewijzigd door Dennism op 13-05-2016 08:56 ]

[TWFpa2Vs]

je kan spoofing helpen voorkomen door aan de berichtkoppen van uitgaande berichten een digitale handtekening volgens de DKIM-standaard toe te voegen. Hiervoor moet je de berichtkoppen van uitgaande mail van uw domein versleutelen met een privé-domeinsleutel en aan de DNS-records van het domein een openbare versie van de sleutel toevoegen.

De ontvangende servers kunnen dan de openbare sleutel ophalen om binnenkomende kopteksten te ontgrendelen en te controleren of het bericht daadwerkelijk van uw domein afkomstig is en niet onderweg is gewijzigd.

Probleem van TS is idd al opgelost ivm een vreemd symbool echter voldoet hij niet aan de SPF standaard met teveel lookups.

[ Voor 10% gewijzigd door TWFpa2Vs op 13-05-2016 08:58 ]

[WoBBeL]

Dat houdt in dat alle uitgaande e-mails moeten worden aangepast (qua mailserver config)? Er zijn namelijk een aantal partijen die namens ons domein e-mail versturen, die moeten deze private sleutel ook gebruiken als ze uberhaupt al de DKIM aanpassing doorvoeren?

[TWFpa2Vs]

Correct, of je moet de partijen via je eigen mailserver relayen, DKIM wordt wel de standaard vermoed ik aangezien het geen limiet kent zoals SPF.

[WoBBeL]

TWFpa2Vs schreef op vrijdag 13 mei 2016 @ 09:01:
Correct, of je moet de partijen via je eigen mailserver relayen, DKIM wordt wel de standaard vermoed ik aangezien het geen limiet kent zoals SPF.

Dan wachten we gewoon nog even af tot op heden zijn we niet tegen moeilijkheden aangelopen omdat er waarschijnlijk geen strict SPF implementatie bij al onze ontvangers is

DKIM klinkt wel een stuk handiger in beheer!

[TWFpa2Vs]

klopt, DKIM kun je al wel vast inrichten, partijen die dan een DKIM check willen uitvoeren kunnen het uitvoeren net zoals een SPF check, het is geen verplichting!

[Aganim]

Dennism schreef op vrijdag 13 mei 2016 @ 08:55:
In het geval van TS die limiet toch niet van toepassing omdat hij maar 2 DNS lookups heeft, en IP4 adressen niet tellen voor de limiet?

Ik tel er iets meer, je moet namelijk de includes wel volledig volgen. In het geval van Office 365 levert dat al 2 extra 'verborgen' DNS lookups op en kom je uit op:
- spf.protection.outlook.com
- spfa.protection.outlook.com
- spfb.protection.outlook.com

- spf.intellyhosting.nl

Dan heb je er dus al sowieso 4 te pakken en dan gedraagt Microsoft zich vandaag de dag vrij netjes. In het verleden gaf spf.outlook.com al rustig 8 DNS lookups.

Afhankelijk van de hoeveelheid A & MX records kan je zo dus nog over de limiet gaan.