Nous avons récemment rencontré des problèmes SPF inhabituels avec l'un de nos clients. Nous ne sommes pas en mesure de déterminer de manière fiable si un message prétendant provenir de leur propre domaine est authentique ou non à l'aide du SPF. La raison... ils incluent Salesforce dans leurs enregistrements SPF et Salesforce utilise une macro susceptible de poser des problèmes.

Voir le problème

Nous utiliserons le domaine example.com, y compris Salesforce, exactement comme l'a fait notre client. Voici un exemple d'enregistrement SPF pour example.com.

v=spf1 ip4:206.168.70.196 include:_spf.salesforce.com include:spf.protection.outlook.com -all

L'enregistrement SPF ci-dessus est très robuste. Il définit une seule adresse IP à partir de laquelle l'envoi de courriels est autorisé, et inclut plusieurs organisations que ce domaine utilise également pour différents services. Il se termine par -all, ce qui signifie qu'aucun courriel ne doit être accepté depuis example.com à moins que l'adresse IP de l'expéditeur ne se situe dans les plages spécifiées dans l'enregistrement SPF.

Lorsqu'un serveur reçoit un message de example.com, il peut utiliser l'enregistrement SPF pour vérifier si l'adresse IP du message provient d'une adresse IP autorisée. Nous allons le détailler en utilisant l'adresse IP 35.80.210.20, qui appartient à Salesforce et qui devrait aboutir à un résultat PASS confirmant que l'expéditeur du message est légitime.

Évaluation des mécanismes SPF

• ip4:206.168.70.196

  ---

  Aucune correspondance, vérification en cours...

  ---

• include:_spf.salesforce.com

  ---

  Il s'agit d'une instruction include, qui nous indique d'inclure les données SPF publiées par Salesforce. Lorsque nous la consultons, nous obtenons ceci :

  v=spf1 exists:%{i}._spf.mta.salesforce.com -all

  Ce mécanisme SPF est une macro, le serveur effectuant la vérification SPF doit remplacer ${i} par l'adresse IP de l'expéditeur. Après substitution par l'adresse IP, on obtient :

  35.80.210.20._spf.mta.salesforce.com

  We now have a host name of 35.80.210.20._spf.mta.salesforce.com and the server doing the SPF check needs to see if that host name resolves. Our SPF check checks if the host is valid, yes - it resolves so the SPF check is valid. Odds are good the message is genuine.

Attaque par virus

Maintenant, nous pouvons effectuer les mêmes tests lorsqu'un message de spam à propos d'un virus informatique est généré, se faisant passer pour un message provenant de example.com. Il devrait être facile de le détecter comme frauduleux, car il ne proviendra pas d'une adresse IP figurant dans la liste SPF du domaine. Notre adresse IP sera 123.200.123.200, effectuons les tests à nouveau.

Évaluation des mécanismes SPF

• ip4:206.168.70.196

  ---

  Aucune correspondance, vérification en cours...

  ---

• include:_spf.salesforce.com

  ---

  Il s'agit d'une instruction include, qui nous indique d'inclure les données SPF publiées par Salesforce. Lorsque nous la consultons, nous obtenons ceci :

  v=spf1 exists:%{i}._spf.mta.salesforce.com -all

  Ce mécanisme SPF est une macro, le serveur effectuant la vérification SPF doit remplacer ${i} par l'adresse IP de l'expéditeur. Après substitution par l'adresse IP, on obtient :

  123.200.123.200._spf.mta.salesforce.com

  We now have a host name of 123.200.123.200._spf.mta.salesforce.com and the server doing the SPF check needs to see if that host name resolves. Our SPF check checks if the host is valid, yes - it resolves so the SPF check is valid. Odds are good the message is genuine.