Почему Amazon SES не требует модификаций SPF в их текущей реализации? ток SES Документация

Question

Amazon говорит:

Если вы используете Amazon SES для отправки с вашего домена, вы должны знать, что текущая реализация SES предполагает отправку сообщений электронной почты от SES принадлежащего MAIL FROM-домена. Это означает, что вам не нужно вносить какие-либо изменения в ваши записи DNS, чтобы ваши электронные письма проходили проверку подлинности SPF.

Источник: http://sesblog.amazon.com/post/Tx3IREZBQXXL8O8/SPF-and-Amazon-SES

---

OpenSPF описывает SPF таким образом:

Что такое SPF?

SPF (определено в RFC 4408) проверяет домен HELO и адрес MAIL FROM, указанный как часть протокола SMTP (RFC 2821 - слой «конверт»). Адрес MAIL FROM обычно отображается как «Return-Path», если вы выберете опцию «Показать все заголовки» в своем почтовом клиенте. Владельцы домена публикуют записи через DNS, которые описывают свою политику, для которой машины имеют право использовать свой домен в адресах HELO и MAIL FROM, которые являются частью протокола SMTP.

Источник: http://www.openspf.org/SPF_vs_Sender_ID

---

Я не понимаю, как эти два совпадают.

Если мой текущий SPF запись выглядит следующим образом:

V = spf1 х а ~ все

(. А Amazon не в моих MX записей)

Я предположил бы, что приемник получает ...

HELO abc.smtp-out.amazonses.com 
MAIL FROM: <user@mydomain.com> 

... тогда приемник получает «mydomain.com «Запись SPF TXT и говорит:« Привет, abc.smtp-out.amazonses.com нет в списке, поэтому SPF = FAIL. "

Что я не понимаю?

---

P.S. Кажется, что Amazon SES использовала, чтобы вы добавили «include: amazonses.com» к вашей записи SPF, что имеет для меня прекрасный смысл. Источник: How to know if the SPF config is working (Amazon SES/Route53)?

Answer 1

Таким образом, запись SPF, на которую вы ссылаетесь, не задействована, поскольку адрес MAIL FROM, используемый сайтом Amazon SES, не является адресом вашего домена.

Предполагая, что у вас есть электронное письмо, отправленное через SES Amazon, откройте его и посмотрите адрес Return-Path. Это будет адрес в каком-то принадлежащем Amazon домене (возможно, amazonses.com, возможно, что-то еще).Это записи MX и SPF этого домена, принадлежащего Amazon, которые используются для определения принимающего MTA для сообщений об отказе и идентификатора SPF, с которым сообщение разрешено соответственно.

Таким образом, приемники этого сообщения Amazon никогда не будут проверять запись SPF домена «From» (mydomain.com), поэтому его не нужно добавлять в запись SPF для mydomain.com. Фактически, добавление его потенциально опасно из-за 10 ограничений доступа к домену в SPF (приемщик должен делать всего 10 DNS-запросов при оценке результата SPF для сообщения).

Правильный способ аутентификации электронной почты Amazon SES - использовать Easy DKIM. Это гарантирует подлинность электронной почты и аутентификация использует тот же домен, что и From. Это гарантирует, что электронное письмо может быть аутентифицировано с помощью DMARC