SPF रिकॉर्ड कैसे बनाएँ: सिंटैक्स, उदाहरण और आम त्रुटियाँ

संक्षेप में

1. SPF रिकॉर्ड क्या करता है। SPF का पूरा नाम Sender Policy Framework है।
2. सिंटैक्स, टुकड़े-टुकड़े में। हर SPF रिकॉर्ड v=spf1 से शुरू होता है।
3. चरण 1: हर सेंडर की सूची बनाएँ। उन सभी सिस्टमों को लिखें जो आपके डोमेन के नाम से ईमेल भेजते हैं: आपकी सेंडिंग सेवा, मेलबॉक्स प्रोवाइडर, वेबसाइट या शॉप, CRM, सपोर्ट डेस्क और कोई भी इनवॉइसिंग या HR टूल।
4. चरण 2: रिकॉर्ड बनाएँ। v=spf1 से शुरू करें, हर सेंडर के लिए एक include या ip4 जोड़ें, और ~all पर समाप्त करें।
5. चरण 3: इसे DNS में प्रकाशित करें। अपने डोमेन के रूट पर एक TXT रिकॉर्ड जोड़ें।
6. चरण 4: इसे टेस्ट करें। लुकअप से पुष्टि करें कि रिकॉर्ड प्रकाशित है और सही ढंग से पार्स हो रहा है, फिर अपने नियंत्रण वाले मेलबॉक्स में एक टेस्ट संदेश भेजें और उसके हेडर में ऑथेंटिकेशन नतीजे पढ़ें।

SPF रिकॉर्ड क्या करता है

SPF का पूरा नाम Sender Policy Framework है। यह आपके डोमेन के DNS में एक TXT रिकॉर्ड है जो बताता है कि कौन-से सर्वर आपके डोमेन का उपयोग करके मेल भेज सकते हैं। संदेश आने पर प्राप्त करने वाला सर्वर भेजने वाले डोमेन का SPF रिकॉर्ड देखता है और जाँचता है कि कनेक्ट करने वाला IP एड्रेस सूची में है या नहीं।

SPF एन्वेलप सेंडर को जाँचता है, जिसे Return-Path या MAIL FROM पता भी कहते हैं, उस From पते को नहीं जो लोगों को दिखता है। यह अंतर आगे DMARC अलाइनमेंट पर पहुँचने पर मायने रखता है।

सिंटैक्स, टुकड़े-टुकड़े में

हर SPF रिकॉर्ड v=spf1 से शुरू होता है। इसके बाद मेकेनिज़्म आते हैं, जिनमें से हर एक मेल के एक स्रोत को नाम देता है, और रिकॉर्ड एक all मेकेनिज़्म पर समाप्त होता है जो बाकी सबके साथ क्या करना है यह बताता है। ip4 और ip6 पते या रेंज की सूची देते हैं। include किसी दूसरे डोमेन का SPF रिकॉर्ड शामिल करता है, जिससे आप किसी सेंडिंग सेवा को अधिकृत करते हैं। a और mx आपके डोमेन के अपने वेब या मेल सर्वरों के पतों को अधिकृत करते हैं।

v=spf1 ip4:203.0.113.10 include:YOUR_SPF_HOST ~all

हर मेकेनिज़्म के सामने एक क्वालिफ़ायर हो सकता है। प्लस का अर्थ पास है और यही डिफ़ॉल्ट है। माइनस का अर्थ फ़ेल, टिल्ड का अर्थ सॉफ़्टफ़ेल और प्रश्नचिह्न का अर्थ न्यूट्रल है। इसलिए ~all कहता है कि जो सूची में नहीं है वह संदिग्ध है पर निषिद्ध नहीं, और -all कहता है कि उसे अस्वीकार किया जाना चाहिए।

चरण 1: हर सेंडर की सूची बनाएँ

उन सभी सिस्टमों को लिखें जो आपके डोमेन के नाम से ईमेल भेजते हैं: आपकी सेंडिंग सेवा, मेलबॉक्स प्रोवाइडर, वेबसाइट या शॉप, CRM, सपोर्ट डेस्क और कोई भी इनवॉइसिंग या HR टूल। SPF को इन सभी को एक ही रिकॉर्ड में कवर करना होता है, इसलिए अधूरी सूची उन सिस्टमों को तोड़ देती है जो आप भूल गए।

हर प्रोवाइडर बताता है कि कौन-सा include मान इस्तेमाल करना है। MigoSMTP के लिए, अंदाज़ा लगाने की बजाय अपने डैशबोर्ड में दिखा SPF मान कॉपी करें।

चरण 2: रिकॉर्ड बनाएँ

v=spf1 से शुरू करें, हर सेंडर के लिए एक include या ip4 जोड़ें, और ~all पर समाप्त करें। उदाहरण के लिए, जो व्यवसाय मेलबॉक्स प्रोवाइडर और सेंडिंग सेवा इस्तेमाल करता है, उसके रिकॉर्ड में दो include और एक समापन होगा।

पूरा रिकॉर्ड एक ही TXT रिकॉर्ड में रखें। हर सेंडर के लिए अलग रिकॉर्ड न बनाएँ। SPF के विफल होने का यही सबसे आम कारण है, और हम इसे नीचे कवर करते हैं।

चरण 3: इसे DNS में प्रकाशित करें

अपने डोमेन के रूट पर एक TXT रिकॉर्ड जोड़ें। कई DNS पैनलों में होस्ट @ होता है या खाली छोड़ा जाता है। मान को ठीक वैसे ही पेस्ट करें जैसा बनाया गया है, अतिरिक्त कोट्स के बिना, जब तक पैनल न माँगे। GoDaddy, BigRock और Hostinger जैसे भारतीय रजिस्ट्रार पैनल, और Cloudflare जैसे DNS होस्ट, सब एक ही पैटर्न का पालन करते हैं।

अगर रूट पर पहले से कोई रिकॉर्ड मौजूद है, तो दूसरा जोड़ने की बजाय उसे संपादित करें। रिकॉर्ड के TTL के अनुसार बदलावों को फैलने में कुछ मिनट से लेकर कुछ घंटे लग सकते हैं।

चरण 4: इसे टेस्ट करें

लुकअप से पुष्टि करें कि रिकॉर्ड प्रकाशित है और सही ढंग से पार्स हो रहा है, फिर अपने नियंत्रण वाले मेलबॉक्स में एक टेस्ट संदेश भेजें और उसके हेडर में ऑथेंटिकेशन नतीजे पढ़ें। spf=pass देखें। हमारा मुफ़्त चेकर आपके SPF, DKIM और DMARC रिकॉर्ड एक जगह दिखाता है और आम त्रुटियाँ चिह्नित करता है।

हर उस सिस्टम से टेस्ट करें जो मेल भेजता है, केवल एक से नहीं। आपकी सेंडिंग सेवा से मिला पास, इनवॉइसिंग टूल के बारे में कुछ नहीं बताता।

गलती 1: एक से अधिक SPF रिकॉर्ड

डोमेन को ठीक एक SPF रिकॉर्ड प्रकाशित करना चाहिए। दो रिकॉर्ड होने पर SPF स्थायी त्रुटि लौटाता है, और प्राप्तकर्ता उसे विफलता मानते हैं। अगर अलग-अलग टीमों ने अपना-अपना रिकॉर्ड जोड़ा है, तो उन्हें एक ऐसे रिकॉर्ड में मर्ज करें जिसमें सभी include हों।

जब आप कोई नया टूल जोड़ते हैं और उसके निर्देश नया TXT रिकॉर्ड बनाने को कहते हैं, तब यह आसानी से हो जाता है। पहले पढ़ें कि वहाँ पहले से क्या मौजूद है।

गलती 2: बहुत अधिक DNS लुकअप

SPF किसी रिकॉर्ड का मूल्यांकन करते समय अधिकतम दस DNS लुकअप की अनुमति देता है। हर include, a, mx और इसी तरह का मेकेनिज़्म गिना जाता है, और नेस्टेड include भी गिने जाते हैं। ip4 और ip6 नहीं गिने जाते। दस से ऊपर जाने पर SPF स्थायी त्रुटि लौटाता है, इसलिए हर हिस्सा ठीक दिखने पर भी जाँच विफल हो जाती है।

जो सेंडर अब इस्तेमाल में नहीं हैं उन्हें हटाएँ, जहाँ पते स्थिर हैं वहाँ a और mx मेकेनिज़्म की जगह स्पष्ट ip4 रेंज लगाएँ, और बहुत सारे include एक के ऊपर एक रखने से बचें। कुछ सेवाएँ SPF फ़्लैटनिंग देती हैं, जो include को पतों से बदल देती है। यह काम करता है, लेकिन पते समय के साथ बदलते हैं, इसलिए इसे अद्यतन रखना पड़ता है।

गलती 3: -all बहुत जल्दी चुनना

-all के साथ हार्ड फ़ेल, प्राप्तकर्ताओं से कहता है कि सूची में न होने वाली हर चीज़ अस्वीकार कर दें। अगर आपकी सूची में कोई सेंडर छूट गया है, तो उस सेंडर का मेल अस्वीकार हो जाएगा। ज़्यादातर टीमें ~all से शुरू करती हैं, कुछ हफ़्ते अपनी DMARC रिपोर्ट देखती हैं, और तभी कड़ा करती हैं जब उन्हें पक्का भरोसा हो कि हर सेंडर सूची में है।

आप जो भी चुनें, केवल SPF इनबॉक्स प्लेसमेंट तय नहीं करता। यह एक सिग्नल है जो DKIM और DMARC के साथ मिलकर काम करता है।

फ़ॉरवर्ड किए गए मेल पर SPF क्यों विफल होता है

जब कोई आपका संदेश फ़ॉरवर्ड करता है, तो वह फ़ॉरवर्ड करने वाले के सर्वर से भेजा जाता है, जो आपके रिकॉर्ड में नहीं है, इसलिए अंतिम गंतव्य पर SPF विफल हो जाता है। यह सामान्य है और आपकी ओर से कोई गलती नहीं है।

इसीलिए DKIM मायने रखता है। DKIM सिग्नेचर आमतौर पर फ़ॉरवर्डिंग के बाद भी बना रहता है, और DMARC तब पास होता है जब SPF या DKIM में से कोई एक पास हो और अलाइन हो। दोनों सेट अप करें।

आगे पढ़ें और स्रोत

• RFC 7208: Sender Policy Framework (SPF)
• Google Workspace: Define your SPF record
• Microsoft: Set up SPF to help prevent spoofing

MigoSMTP में करें: हेल्प सेंटर लेख

• SPF permerror और 10-लुकअप सीमा ठीक करें
• अपना सेंडिंग डोमेन वेरिफ़ाई करें: DNS रिकॉर्ड और प्रोपेगेशन
• MigoSMTP में सेंडिंग डोमेन ऑथेंटिकेट करें: SPF, DKIM और DMARC

संबंधित गाइड और टूल

• SPF रिकॉर्ड चेकर: रिकॉर्ड देखें और उसके DNS लुकअप गिनें।
• SPF रिकॉर्ड जनरेटर: अपने सेंडर से रिकॉर्ड बनाएँ।
• DKIM, SPF और DMARC सेटअप: अपने डोमेन को शुरू से अंत तक ऑथेंटिकेट करें।