Странности с SPF на GMail

[alibek]

В фирме используются службы Google для домена.

SPF настроен в соответствии с рекомендациями: https://support.google.com/a/answer/178723?hl=ru

$ORIGIN domain.ru.
...
@  TXT  ( "v=spf1 include:_spf.google.com ~all" )

 

Вчера получил письмо, отправителем в котором был указан мой почтовый домен.

В заголовках письма было это:

...
Received-SPF: pass (google.com: domain of user@mail.ru designates 94.100.178.197 as permitted sender) client-ip=94.100.178.197;
Received: from [62.76.104.2] (ident=mail)
by f145.i.mail.ru with local (envelope-from <user@mail.ru>)
id 1bDHmq-0006z4-Vx
for support@domain.ru; Wed, 15 Jun 2016 23:51:45 +0300
Received: from [62.76.104.2] by e.mail.ru with HTTP;
Wed, 15 Jun 2016 23:51:44 +0300
From: support@domain.ru
To: support@domain.ru
...
X-Original-Sender: user@mail.ru
X-Original-Authentication-Results: mx.google.com;       dkim=pass
header.i=@mail.ru;       spf=pass (google.com: domain of user@mail.ru
designates 94.100.178.197 as permitted sender) smtp.mailfrom=user@mail.ru;
      dmarc=pass (p=REJECT dis=NONE) header.from=mail.ru
X-Original-From: =?UTF-8?B?0JjRgNC40L3QsA==?= <user@mail.ru>

 

Собственно вопрос, а почему permitted sender ?

Я ведь домен mail.ru нигде не прописывал.

[ipaddr.ru]

Дайте угадаю, return-path в письме - от mail.ru?

[alibek]

Кстати, нет.

Return-Path: <support+bncBCG55IMSZELRBYP7Q25QKGQEUJFPTDA@domain.ru>

 

Вот полный набор заголовком (домены и логины замаскированы):

Delivered-To: staff1@domain.ru
Received: by 10.159.34.10 with SMTP id 10csp7259uad;
       Wed, 15 Jun 2016 13:51:46 -0700 (PDT)
X-Received: by 10.194.243.2 with SMTP id wu2mr598481wjc.40.1466023906421;
       Wed, 15 Jun 2016 13:51:46 -0700 (PDT)
Return-Path: <support+bncBCG55IMSZELRBYP7Q25QKGQEUJFPTDA@domain.ru>
Received: from mail-wm0-f72.google.com (mail-wm0-f72.google.com. [74.125.82.72])
       by mx.google.com with ESMTPS id k128si7137694wmb.34.2016.06.15.13.51.46
       for <staff1@domain.ru>
       (version=TLS1_2 cipher=ECDHE-RSA-AES128-GCM-SHA256 bits=128/128);
       Wed, 15 Jun 2016 13:51:46 -0700 (PDT)
Received-SPF: pass (google.com: domain of support+bncbcg55imszelrbyp7q25qkgqeujfptda@domain.ru designates 74.125.82.72 as permitted sender) client-ip=74.125.82.72;
Authentication-Results: mx.google.com;
      spf=pass (google.com: domain of support+bncbcg55imszelrbyp7q25qkgqeujfptda@domain.ru designates 74.125.82.72 as permitted sender) smtp.mailfrom=support+bncBCG55IMSZELRBYP7Q25QKGQEUJFPTDA@domain.ru;
      dmarc=pass (p=NONE dis=NONE) header.from=domain.ru
Received: by mail-wm0-f72.google.com with SMTP id 4sf15708220wmz.1
       for <staff1@domain.ru>; Wed, 15 Jun 2016 13:51:46 -0700 (PDT)
X-Google-DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
       d=1e100.net; s=20130820;
       h=x-gm-message-state:from:to:mime-version:date:reply-to:message-id
        :x-original-sender:x-original-authentication-results:precedence
        :mailing-list:list-id:x-spam-checked-in-group:list-help;
       bh=zM9mEQUYn1dXmUUWkZj7j8oJVosspO0D9EXjK2v2mns=;
       b=TcJ6BeA2hHxKbuSNpt1kpbXESZvN0vBQK4jV/E84LMQO/+d+ElNYDujQYgyrZd1wu+
        49Mu/dXjfu21xZH3lkec+34w2JNYTiZMhfRpgCQmRdnihyh4nwYPmU84AYuzpt4NkXCG
        9d+W+9c2WPkVubNXlpwYkjicpbb+xbuLPob9NQXP+4LUTMRTTu5mmEh1Enh3p+twrHSz
        VqHB+TDO/cs5LJouTFoPAh4tgJK780JRxavLPi8I4+scaUYte+xKnZh6aDJLkI4r453L
        zFfWPpxVMbbUe+To/U9PQ4r4XeupxHav9VqhBkNOMRu5ecf6xOqMCIJCxNVmhlm9ibcu
        znpg==
X-Gm-Message-State: ALyK8tJzF0Dvp1J7he7sFtsPE7QIsQ8dOy8Y/Dtub5qzNwqcSgGOXVmwq6bwZzpt1IPosA==
X-Received: by 10.46.9.138 with SMTP id 132mr119376ljj.0.1466023906227;
       Wed, 15 Jun 2016 13:51:46 -0700 (PDT)
X-BeenThere: domain.ru
Received: by 10.28.70.198 with SMTP id t189ls260wma.1.gmail; Wed, 15 Jun 2016
13:51:45 -0700 (PDT)
X-Received: by 10.28.199.199 with SMTP id x190mr2295230wmf.7.1466023905870;
       Wed, 15 Jun 2016 13:51:45 -0700 (PDT)
X-BeenThere: support@domain.ru
Received: by 10.25.22.193 with SMTP id 62ls70129lfw.8.gmail; Wed, 15 Jun 2016
13:51:45 -0700 (PDT)
X-Received: by 10.25.163.8 with SMTP id m8mr186733lfe.144.1466023905619;
       Wed, 15 Jun 2016 13:51:45 -0700 (PDT)
Received: from f145.i.mail.ru (f145.i.mail.ru. [94.100.178.197])
       by mx.google.com with ESMTPS id z187si15641970lfa.129.2016.06.15.13.51.45
       for <support@domain.ru>
       (version=TLS1_2 cipher=ECDHE-RSA-AES128-GCM-SHA256 bits=128/128);
       Wed, 15 Jun 2016 13:51:45 -0700 (PDT)
Received-SPF: pass (google.com: domain of user@mail.ru designates 94.100.178.197 as permitted sender) client-ip=94.100.178.197;
Received: from [62.76.104.2] (ident=mail)
by f145.i.mail.ru with local (envelope-from <user@mail.ru>)
id 1bDHmq-0006z4-Vx
for support@domain.ru; Wed, 15 Jun 2016 23:51:45 +0300
Received: from [62.76.104.2] by e.mail.ru with HTTP;
Wed, 15 Jun 2016 23:51:44 +0300
From: support@domain.ru
To: support@domain.ru
MIME-Version: 1.0
X-Mailer: Mail.Ru Mailer 1.0
X-Originating-IP: [62.76.104.2]
Date: Wed, 15 Jun 2016 23:51:44 +0300
Reply-To: user@mail.ru
X-Priority: 3 (Normal)
Message-ID: <1466023904.98925373@f145.i.mail.ru>
Content-Type: multipart/alternative;
boundary="--ALT--b2f842d21466023904"
X-Mras: OK
X-Spam: undefined
X-Original-Sender: user@mail.ru
X-Original-Authentication-Results: mx.google.com;       dkim=pass
header.i=@mail.ru;       spf=pass (google.com: domain of user@mail.ru
designates 94.100.178.197 as permitted sender) smtp.mailfrom=user@mail.ru;
      dmarc=pass (p=REJECT dis=NONE) header.from=mail.ru
X-Original-From: user@mail.ru
Precedence: list
Mailing-list: list support@domain.ru; contact support+owners@domain.ru
List-ID: <support.domain.ru>
X-Spam-Checked-In-Group: support@domain.ru
X-Google-Group-Id: 922016258411
List-Help: <https://support.google.com/a/domain.ru/bin/topic.py&topic=25838>, <mailto:support+help@domain.ru>

[ipaddr.ru]

У вас же какая-то пересылка идет, насколько я вижу?

 

Permitted sender проставился из-за envelope-from <user@mail.ru>.

[alibek]

support@domain.ru - это группа рассылки, которой пользуется сотрудник staff1@domain.ru.

staff1 получает все письма, адресованные на support, и может отправлять от имени support в заголовке From (но при этом в заголовке Sender остается staff1).

 

Но user@mail.ru ни в какие группы рассылки не входит и КМК не должен иметь возможность отправлять письма от имени support@domain.ru.

Возможно user@mail.ru переписывался с support@mail.ru, но разве это повод для подстановки адреса в envelope-from?

[alibek]

Удивительное рядом.

 

Зашел в админку, посмотрел настройки группы staff1.

У группы указан уровень доступа "Интернет", в описании сказано "Отправлять сообщения также разрешается всем пользователям Интернета".

Раньше описание было чуть другим и его смысл я понимал так: отправлять сообщения в данную группу разрешается всем пользователям интернета. А отправлять сообщения от имени группы разумеется только тем, кто подтвердил адрес.

Потому что если уровень доступа указать "Коллектив" (Отправлять сообщения и просматривать список участников могут все пользователи домена), то на адрес staff1@domain.ru нельзя будет написать сообщение из внешних адресов.

 

Но оказалось, что с уровнем доступа "Интернет" данный адрес в качестве обратного может указать любой пользователь. То есть разрешение относится не только в приему сообщений, но и к отправке.

Чтобы указать нужный вид группы, уровень доступа должен быть "Дополнительно".

[GrigoryProshin]

@alibek, пытаюсь решить подобную же проблему. Как получилось решить? Как настроили разрешения групп?

[alibek]

Никак, в бесплатной версии это не настраивается.