¿Se puede omitir SPF usando un servidor de correo electrónico compartido?

SPF está diseñado para protegerse contra alguien que usa su propio servidor para enviar correo electrónico con su dirección de correo electrónico. Por ejemplo, los spammers pueden usar una botnet de PC o dispositivos comprometidos para conectarse directamente al servidor SMTP de destino, lo que hace que una lista negra de servidores de envío sea muy difícil de implementar; Debido a que SPF es una lista blanca , el destinatario puede detectar que se trata de un mensaje falsificado y marcarlo como spam.

Como usted dice, no protege contra otros usuarios que usan el mismo servidor que usted. Esencialmente, cualquier servidor que incluya en la lista blanca del registro SPF debe ser uno en el que confíe para no permitir que otros usuarios falsifiquen su identidad. Por ejemplo, si coloca en la lista blanca los servidores salientes de GMail, está confiando en que Google solo enrute los mensajes a través de los servidores creados por alguien que haya iniciado sesión en su cuenta.

Teóricamente, podría usar DKIM para compartir un servidor no confiable sin este riesgo: si guarda la única copia de la clave privada en otro lugar que no sea el servidor compartido, nadie podrá falsificar su correo. Sin embargo, en la práctica, las firmas DKIM se agregan comúnmente por el mismo servicio que se ejecuta en el servidor SMTP compartido, por lo que, por ejemplo, puede configurar DKIM para el correo que está enviando a través de GMail, y todavía estaría confiando en que Google no lo permita. otros usuarios firman su correo con la misma clave.

Solo para agregar más información, tenga en cuenta que un spammer puede configurar un servidor con su único dominio "mylovelydomain.com" y crear su registro SPF, que apunte a XYZW y sus pruebas de SPF pasarán porque el mensaje vino de la IP XYZW IP con el dominio "mylovelydomain.com". SPF es una primera capa de defensa, necesita combinar otras técnicas como DKIM, DMARC, Virtual Dmarc si desea configurar correctamente.