Eeeember! A tonlány például beenged mindent is, a Google/Yahoo/O365/govhu/satöbbi meg nem, és szórják vissza a leveleket, ha nem jó helyről érkezik.
Az SPF/DMARC az _ajánlást_ jelent a fogadó oldalnak, hogy mit tegyen, mit ne tegyen. Igen, a "egyébként szerintem dobd el" az értelmezhető úgy is, hogy "sz@rd le a kérés többi részét"... Érdekes módon a komolyabb szolgáltatók a "soft fail"-t failsafe módon értelmezik, azaz ha odáig jut a folyamat, akkor inkább eldobják a 3.14csába, és dobják vissza a jelentést a megfelelő címre. Ja, és ugyebár ha már bemegy, és ordít a levélről, hogy spam/phising/egyéb trágya, akkor azt szépen meg lehetne cimkézni, hogy te hülye user, ez nagy val.séggel spam/szemét, úgy kezeld. De amikor még a spamszűrő (ha van egyáltalán) sem fogja meg, nos, akkor az kijelenthető, hogy a fogadó oldal (is) sáros - nem is kicsit.
(Apró infó: ami nálam van domain/van hozzá közöm, ott soft/hard fail vegyesen lett beállítva - igény szerint. Egy-egy nagyobb spam/phising "esemény" következtében nálam is landol bőven dmarc riport/jelentés, illetve néhány trehányabb szolgáltatónál maradó üf vagy honeypot mailboxba meg esik bele a sz@r, úgyhogy van elég nagy merítésem arra nézve, hogy milyen módon kezelik/nem kezelik az spf/dmarc dolgokat egyes szolgáltatók.
Ja, ugye nálatok az utolsó bitig, az utolsó apró beállításig minden tökéletes... (Ahogy írtam, nálam sem, mert van soft fail -es spf néhány domainen, mert a tulajdonos/használó ezt _kérte_. És nem állíthatok be mást, maximum jelezhetem, hogy fail-open szolgáltatók miatt inkább legyen hard-fail...