Как правильно настроить SPF чтобы не было спуфинга?

Question

[Арсен]

Всем доброго дня!

Есть домен нашей компании, допустим mydomain.com, корпоративная почта через который отправляется через провайдера provider.net (метод Microsoft Exchange).
на домене настроена следующая SPF запись: v=spf1 a mx ip4:173.xx.xx.x9 include:spf.provider.net -all однако эта запись не останавливает злоумышленников отправлять спуф-письма с нашим доменом в поле отправителя. Эти письма мы сами получаем в папку Спам, в какую папку получают клиенты - неизвестно. Моя цель - добиться того, чтобы письма с нашим доменом могли быть отправлены только с разрешённых нами IP-адреса и через провайдера, это вообще возможно?

Answer 1

[Дмитрий Шицков]

Блочить письма должны получатели. Вы лишь можете предоставить им методы подтверждения подлинности ваших писем, а именно: SPF, DKIM и DMARC. Именно наличие DMARC записи указывает, что делать получателю с письмами в зависимости от политики:

• none - не принимать никаких особых действий, всё на усмотрение почтовика;
  
• quarantine - отпарвить в спам;
  
• reject - не принимать письмо.
  

Но опять же, обработка всех этих записей, всё это на усмотрение сервера получателя...

Comments

[Владимир Дубровин]

К этому надо добавить, что SPF защищает только envelope-from адрес, не защищает адрес From:, поэтому его бесполезно использовать для защиты от спуфинга. Для защиты от спуфинга DMARC обязателен.

[Арсен]

Благодарю! Начинаю изучать DMARC!

Answer 2

[Ethril]

Само по себе наличие у домена SPF-записи (ваша выглядит вполне правильной) ничего никому не запрещает. Каждый получатель сам решает, что делать в случае несоответствия отправителя SPF-политике. Вот у вас, например, спам-фильтр перекладывает такие письма в папку Спам. У кого-то из клиентов - заблокирует на входе. У кого-то - проигнорирует...

Comments

[Арсен]

Спасибо за ответ. Я так понимаю "жёсткого" решения блочить такие письма для всех нет?

[Ethril]

Арсен: Нету.

[Владимир Дубровин]

Арсен: вам в другом ответе дали правильное решение. DMARC в настоящее время поддерживают все крупные сервисы (GMail, Hotmail/Outlook, Yahoo, Mail.Ru и частично Yandex).