SPF van politie.nl is incorrect?

[DJMaze]

Is het iemand al opgevallen dat de SPF van politie.nl niet goed is?

ARC-Authentication-Results: i=1;
dkim=pass header.d=politie.nl header.s=20170705 header.b="SS5X/yxS";
spf=none (ORIGINATING: domain of [e-mail] has no SPF policy when checking 2a04:9a00:1200:a610::13) smtp.mailfrom=[e-mail];
dmarc=pass (policy=quarantine) header.from=politie.nl

code:

TXT v=spf1 mx -all

Probleem is dat in 'spf1 mx -all' de 'a' mist OF dat ze vergeten zijn TXT records aan te maken voor mail1.politie.nl en mail2.politie.nl

Nu heb ik een test gedaan door vanaf mijn servers een e-mail te sturen namens politie.nl en dan heb ik dus een "pass".

Authentication-Results: ORIGINATING;
dkim=none;
spf=pass (ORIGINATING: domain of [e-mail] designates [ip] as permitted sender) smtp.mailfrom=[e-mail];

Heeft iemand een server zonder DKIM om te kijken of het werkt?

Want bij mij komt de mail wel in "junk/spam" door een DKIM fail.

dmarc=fail reason="SPF not aligned (relaxed), No valid DKIM" header.from=politie.nl (policy=quarantine)

[x86dev]

SPF record is in orde. Ze hebben wellicht geen DKIM ingesteld.

[Vorkie]

Ja is gewoon OK.

Check tools zoals mxtoolbox maar.

[Jazzy]

Zie het probleem ook niet direct, dat IPv6 IP-adres is één van de MX-records.

DJMaze schreef op donderdag 8 juli 2021 @ 10:29:
Nu heb ik een test gedaan door vanaf mijn servers een e-mail te sturen namens politie.nl en dan heb ik dus een "pass".

[...]

Wat wil je met dit stukje precies aantonen? Daar staat helemaal niet dat politie.nl het IP-adres van jouw server in de SPF zou hebben.

[DJMaze]

x86dev schreef op donderdag 8 juli 2021 @ 10:36:
SPF record is in orde.

Waarom is het dan 'none' en niet 'pass'?

Jazzy schreef op donderdag 8 juli 2021 @ 10:47:
Wat wil je met dit stukje precies aantonen? Daar staat helemaal niet dat politie.nl het IP-adres van jouw server in de SPF zou hebben.

De SPF is 'pass' omdat Sender header klopt met @example.com
De From is echter @politie.nl

[Brahiewahiewa]

DJMaze schreef op donderdag 8 juli 2021 @ 10:29:
Is het iemand al opgevallen dat de SPF van politie.nl niet goed is?...

Waarom post je dat hier? Heb je de politie al ingelicht en de redelijke termijn is verstreken?

[Vorkie]

SPF met mx erin betekend dus dat de MX records in deze zone gepermitteerd zijn te verzenden. als je daar nog een A tussen zet, mag ook elk ander A record mailen.

Zoals het er nu staat is het juist strakker afgesteld, alleen ingestelde mailservers mogen versturen.


v=spf1 mx -all

In dit geval:
mail1.politie.nl
mail2.politie.nl

Zet je nu ook de a er tussen:
v=spf1 mx a -all

mag ook ineens de leverancier van de website mailen

62.112.247.206

[Jazzy]

DJMaze schreef op donderdag 8 juli 2021 @ 13:15:
[...]

Waarom is het dan 'none' en niet 'pass'?

De vraag is inderdaad waarom je mailserver geen SPF policy voor politie.nl kan vinden terwijl er, op dit moment in ieder geval, wel gewoon een SPF-record in DNS staat.

Je eigen testje klopt niet trouwens. Als je echt SPF wilt testen dan moet je daadwerkelijk

code:

mail from:[e-mail]

gebruiken.

[Jazzy]

Brahiewahiewa schreef op donderdag 8 juli 2021 @ 13:33:
[...]

Waarom post je dat hier? Heb je de politie al ingelicht en de redelijke termijn is verstreken?

Modbreak:

In plaats van kritiek op de TS te leveren kun je misschien beter even het topic lezen. Dan begrijp dat je er totaal geen sprake is van een gevoelig beveiligingslek dat volgens een bepaald procedure gemeld zou moeten worden.

[CH4OS]

Jazzy schreef op donderdag 8 juli 2021 @ 13:39:
[modbreak]In plaats van kritiek op de TS te leveren kun je misschien beter even het topic lezen. Dan begrijp dat je er totaal geen sprake is van een gevoelig beveiligingslek dat volgens een bepaald procedure gemeld zou moeten worden.[/]

Als daadwerkelijk de SPF fout zou zijn en iedereen als politie.nl e-mail zou kunen versturen, lijkt mij dat redelijk een beveiligingslek, ja. Sowieso zijn wij niet degenen die het voor politie.nl kunnen oplossen. Nu is gelukkig de SPF zover ik ook zie prima, dus er is inderdaad iets anders. Maar stel het was wel foutief, dan was het een behoorlijk ding geweest, me dunkt.

[ Voor 19% gewijzigd door CH4OS op 08-07-2021 13:42 ]

[DJMaze]

Jazzy schreef op donderdag 8 juli 2021 @ 13:36:
Je eigen testje klopt niet trouwens. Als je echt SPF wilt testen dan moet je daadwerkelijk

code:

mail from:[e-mail]

gebruiken.

Daar dacht ik ook al aan.

Jazzy schreef op donderdag 8 juli 2021 @ 13:36:
De vraag is inderdaad waarom je mailserver geen SPF policy voor politie.nl kan vinden terwijl er, op dit moment in ieder geval, wel gewoon een SPF-record in DNS staat.

Inderdaad. Ik gebruik Rspamd en die werkt tot nu toe heel goed.
Alleen met politie.nl heeft ie problemen.

Nu ik de test heb gedaan met

code:

mail from:[e-mail]

krijg ik

Authentication-Results: ORIGINATING;
dkim=none;
spf=none (ORIGINATING: domain of [e-mail] has no SPF policy when checking [mijnip]) smtp.mailfrom=[e-mail];
dmarc=fail reason="No valid SPF, No valid DKIM" header.from=politie.nl (policy=quarantine)

Er gaat blijkbaar iets mis met Rspamd omdat ie nog steeds "spf=none" geeft.
Dan is er dus niks mis met de SPF van politie.nl

[Jazzy]

Wat als je van die server eens met nslookup het SPF-record voor politie.nl probeert op te vragen?

[Vorkie]

Ik verwacht:

Received-SPF: none (domain of mydomain.com does not designate permitted sender hosts)

Jij krijgt:

spf=none (ORIGINATING: domain of [e-mail] has no SPF policy when checking [mijnip])


Check je config

@Jazzy Misschien even de Topictitel aanpassen? Lijkt mij niets met politie.nl te maken te hebben.

[DJMaze]

Jazzy schreef op donderdag 8 juli 2021 @ 15:25:
Wat als je van die server eens met nslookup het SPF-record voor politie.nl probeert op te vragen?

code:

[~]# dig politie.nl TXT
politie.nl.             3036    IN      TXT     "v=spf1 mx -all"

[~]# dig politie.nl MX
politie.nl.             3600    IN      MX      10 mail2.politie.nl.
politie.nl.             3600    IN      MX      10 mail1.politie.nl.

[~]# dig mail1.politie.nl A
mail1.politie.nl.       2217    IN      A       145.119.166.19

[~]# dig mail1.politie.nl AAAA
mail1.politie.nl.       3600    IN      AAAA    2a04:9a00:1200:a610::13

[~]$ dig -x 2a04:9a00:1200:a610::13
3.1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.1.6.a.0.0.2.1.0.0.a.9.4.0.a.2.ip6.arpa. 3600 IN PTR mail1.politie.nl.

Vorkie schreef op donderdag 8 juli 2021 @ 15:32:
Ik verwacht:

code:

Received-SPF: none (domain of mydomain.com does not designate permitted sender hosts)

Je bedoelt 'Received-SPF: fail'?
Zie https://datatracker.ietf.org/doc/html/rfc7208#section-8.1
En https://datatracker.ietf.org/doc/html/rfc7208#section-9.1

[ Voor 6% gewijzigd door DJMaze op 08-07-2021 16:00 ]