O fim
do spoofing

A Sender Policy Framework (SPF)* é uma norma criada em 2003 especialmente para combater o chamado spoofing* – o envio de e-mails com o endereço remetente falsificado – e phishing* – o envio de e-mails falsos para obter informações sensíveis e confidenciais.

Enquanto que SPF não impede que um criminoso informático (hacker) envie mensagens dessas, que você receba mensagens dessas ou que alguém se faça passar por si, o que SPF consegue fazer é eliminar ou dar-lhe uma clara alerta quando você recebe uma mensagem com remetente falso.

Isto é imprescindível para se assegurar que é mais difícil os seus colaboradores serem enganados por spoofing e phishing e fornecerem dados confidenciais da sua empresa a hackers. Também é mais difícil que clientes seus sejam enganados ou que você mesmo seja enganado.

Isto minimiza o número de casos de espionagem industrial e reduz a possibilidade de perder clientes quando a sua concorrência se faz ilegalmente passar por si.

Phishing
limitado

SPF no entanto não resolve completamente o problema do phishing. Se você receber uma mensagem com um remetente falso fazendo de conta que é o seu banco (e.g.: contas@citibank.com) SPF apaga a mensagem ou alerta-o. Mas se o hacker registar um domínio semelhante a "citibank.com", embora diferente, SPF correctamente indica que o remetente é genuíno. Compete-lhe a si ou aos seus colaboradores prestar atenção e reparar que o remetente é parecido mas não é o seu banco (e.g.: contas@citybank.com ou contas@citibank-corp.com).

Mesmo com assinaturas digitais (que são um meio criptográfico de garantia de remetente genuíno e conteúdo não adulterado), um hacker consegue assinar digitalmente uma mensagem de um domínio que lhe pertença.

A ultima barreira de protecção passa assim pela educação dos seus colaboradores para compreenderem os perigos e se protegerem.

Como
funciona

Todo o nosso alojamento inclui SPF para impedir que alguém se faça passar por si (ou melhor, para garantir que o destinatário – se também suportar SPF – nunca chegue a receber as mensagens falsas). Não precisa de fazer nada, SPF é automático.

No entanto, o que SPF faz é indicar a cada destinatário qual é a lista de servidores de envio de e-mail (SMTP*) que são usados pela sua empresa. Assim, um e-mail com um seu endereço remetente enviado por qualquer outro servidor SMTP na Internet é imediatamente descartado como falso.

Para isso funcionar adequadamente, deve indicar-nos quais são os servidores SMTP que usa. Desde que a lista seja suficientemente curta, o seu domínio será programado com os registos SPF correspondentes, assegurando que os destinatários deixam de receber mensagens falsas.

Quando uma mensagem é recebida pelo nosso alojamento, os registos SPF são verificados. Se a verificação falhar, a mensagem é imediatamente apagada. O nosso Webmail também suporta SPF dando esse tipo de alertas quando você receber uma mensagem falsa.

O Webmail vai para além do SPF e também suporta outras normas semelhantes (Sender-ID*, DomainKeys* e DKIM*) dando-lhe máxima protecção contra o ciber crime.

Mais sobre o nosso Webmail 

SPF não é
anti-spam

Existem variadíssimos artigos na Internet a criticar o SPF. A vasta maioria deles critica o SPF de não ter impedido spam* de actuar.

Isto é uma má compreensão do objectivo de SPF. SPF pretende impedir o spoofing que era apenas mais uma forma de spam entrar nas nossas caixas de e-mail: o remetente fazia-se passar por uma entidade bem conhecida.

Hoje em dia, devido ao SPF, spam e phishing são alvos mais fáceis de acções legais. Ambas as formas de criminalidade são mais facilmente actuadas nos tribunais. Mas SPF não as impede, nem nunca as pretendeu impedir.