SendGrid Automated Security 如何处理 SPF 记录？

Question

我使用 SendGrid，并且有 2 个专用 IP...我的网站使用 SendGrid 发送电子邮件。

我同时使用 G Suite，并且我个人使用 G Suite (Google Workspace) 发送电子邮件

我想设置 DKIM 和 SPF 记录。SendGrid 文档有一个名为Automated Security 的选项：

自动化安全性允许 SendGrid 处理您的 DKIM 签名以及带有 CNAME 记录的出站电子邮件的 SPF 身份验证。这使您可以添加专用 IP 地址或更新您的帐户，而无需更新 SPF 记录。

后来...

当自动安全性打开时，SendGrid 会生成 3 条不同的 CNAME 记录。在设置域身份验证的后续步骤中，您将这些记录提供给您的 DNS 提供商，然后验证它们是否正确上传。

如果您选择关闭，我们会生成 1 条 MX 记录和 2 条 TXT 记录。在设置域身份验证的后续步骤中，您将这些记录提供给您的 DNS 提供商，然后验证它们是否正确上传。

因此，当自动安全性开启时，我不需要添加任何 SPF 和 DKIM 记录，而是添加了自动安全性所需的 3 个 CNAME 记录...

另一方面，我也在使用 G Suite，G Suite 希望我添加 DKIM 和以下 SPF 记录：

v=spf1 include:_spf.google.com ~all 

据我了解，上述 SPF 记录意味着这_spf.google.com是唯一应该发送我的电子邮件的服务器......

所以我的问题是：添加 G Suite SPF 记录是否与 SendGrid Automated Security 冲突？我的 SPF 记录显示 My SendGrid 的专用 IP 不允许发送电子邮件？

想象一下，雅虎邮件服务器从我的一个专用 IP (SendGrid) 收到一封电子邮件...雅虎如何知道我正在使用自动安全性并且 SPF 记录由 SendGrid 处理？因为如果雅虎检查了 SPF 记录，SPF 记录告诉它只_spf.google.com允许发送我的电子邮件？

Answer 1

请注意：您的问题在服务器故障论坛上可能会更好。

回答您的问题：否，SPF您列出的 G Suite 记录与您的 SendGrid 设置不冲突。

需要理解的重要一点是：SPF绝对没有提及谁可以向FROM您的域发送电子邮件。相反，您将通过“自动安全”中的委托记录为退回邮件（标头的用途）创建SPF一个子域。Return-PathReturn-PathCNAME

因此，基本上，Sendgrid 要求您为它们创建一个子域，例如em123.yourdomain.com通过 CNAME 记录。您将该子域委托给他们，以 DNS 中的个人 Sendgrid 租户区域为目标，他们在该区域的根目录下创建 SPF 记录和 MX 记录。来自 Sendgrid 的典型电子邮件将如下所示：

from: you@yourdomain.com,Return-Path: bounces@em123.yourdomain.com

因此，接收服务器将检查记录SPF以em123.yourdomain.com查看您的 IP 是否被允许。

另外两个 CNAME 用于 DKIM 选择器记录。它们指向 Sendgrid 管理和定期轮换的 TXT 记录。

那么为什么不让 Sendgrid 在返回路径中使用它们的域，并且CNAME根本不用费心进行设置呢？ DMARC要求您的Return-Path域与您的域一致FROM，或者签名中使用的域DKIM与您的域一致FROM。最好两者兼而有之。