SPF e articoli da siti di notizie

Naviga le tue risposte
3

Supponiamo di attivare SPF nel mio ambiente. Ora sto applicando rigorosamente i record SPF dall'invio di domini. Ci sono molti dirigenti nella compagnia che amano trasmettere notizie dalla CNN e simili ai loro colleghi di lavoro. Quando invio l'articolo, CNN mi chiede il mio indirizzo email e l'indirizzo email della persona a cui lo invio. Quindi inserisco [email protected] nell'addirizzo del mittente, [email protected] nell'indirizzo. Ora i miei record DNS per somewhere.com elencano solo i due server SMTP della mia azienda (come dovrebbe). L'email arriva dal server SMTP della CNN e viene bloccata poiché il suo IP non è registrato nel mio record SPF?

Questo è uno "svantaggio" che vedo su SPF. La pratica di inviare email da siti web come questo non è una buona idea dal punto di vista della sicurezza? Ci sono altri potenziali problemi con l'implementazione rigorosa di SPF?

    
posta ChrisLoris 08.11.2012 - 23:04
fonte

2 risposte

4

Per me, questo è il principale vantaggio di SPF, non uno svantaggio. Quello che sta accadendo è che hai impedito alla CNN (e agli spammer) di falsificare i tuoi server di posta elettronica. È una pratica terribile in cui sono coinvolti e sono sicuro che lo stiano facendo principalmente per raccogliere indirizzi e-mail per i propri usi, marketing o altro. Se i tuoi utenti si lamentano che i link non stanno arrivando, lo utilizzerei come un'opportunità per insegnare loro come incollare un URL in Outlook e inviarlo correttamente.

    
risposta data 09.11.2012 - 01:10
fonte
2

SPF non tenta di verificare il dominio nell'indirizzo From: , solo quello nel comando MAIL FROM SMTP (envelope). È possibile implementare l'impostazione di una funzione "condividi questo collegamento" con un'intestazione From: fornita dall'utente ma una busta originale- MAIL FROM , senza lamentarsi SPF.

Sfortunatamente CNN sta spoofing the MAIL FROM pure , che sembra piuttosto stupido - dovrebbero risolvere il problema.

(L'ID mittente tenta di convalidare l'indirizzo Da / Risent-Da, ma si tratta di un gioco diverso.)

Is the practice of sending emails from web sites like this not a good idea from a security standpoint?

Personalmente non penso che sia una buona idea in generale - far finta di provenire da un altro indirizzo è solo fonte di confusione. Sarebbe meglio IMO inviare con From come un vero indirizzo (potenzialmente nore), con l'utente inserito elencato in Reply-To e una nota nella parte superiore. ("[email protected] ha pensato che ti interesserebbe questa notizia ...")

    
risposta data 09.11.2012 - 11:59
fonte

Leggi altre domande sui tag

OpenSSL AES GCM è standardizzato? Come impostare una rete per un honeypot?