O uso de SPF para GSuite abre meu domínio para abuso do Gmail?

Question

A recomendação do Google para o SPF para ambos GMail e GSuite é

v=spf1 include:_spf.google.com ~all

Minha preocupação é que isso seja o mesmo tanto para o Google quanto para o Gmail. Se não me engano, isso significa que posso enviar do servidor GSuite como meu domínio pessoal e não ser marcado como spam. No entanto, isso também permite que qualquer pessoa com uma conta do GMail crie um e-mail como se viesse do meu domínio, e desde que ele enviasse por meio dos servidores SMTP do Google (que seriam incluídos nos registros SPF) não será uma violação do SPF.

Este não é um buraco de segurança para as pessoas que usam o GSuite, ou eu estou perdendo alguma coisa?

Obrigado!

    

Answer 1

O registro SPF em si significa que qualquer email enviado dos servidores do Gmail / Gsuite está ok.

No entanto, acredito firmemente que os serviços do Gmail / Gsuite não permitem que os usuários usem endereços remetentes arbitrariamente escolhidos sem a validação prévia de propriedade.

Ou seja, não seria uma violação da política do SPF que tornaria esse abuso visível após o fato, mas os servidores de e-mail do Gmail / Gsuite rejeitariam a solicitação desse usuário não relacionado para retransmitir tal mensagem em primeiro lugar.