Novičniki in storitve za pošiljanje pošte

Modul 7: Povezovanje zunanjih storitev · Čas branja: 8 minut

Učni cilj: Po tej lekciji boste znali povezati novičniško ali poštno storitev tako, da Vaša pošta ne bo pristala v neželeni pošti.

Ključni pojmi: preverjanje domene (avtentikacija), DKIM prek CNAME, selector, SPF include samo če storitev to zahteva, omejitev 10 poizvedb, poravnava DMARC prek DKIM, MX se ne dotikamo

Zakaj novičniška storitev zahteva zapise

Novičniška storitev, kot je Mailchimp, Brevo ali MailerLite, ali storitev za pošiljanje računov in potrditev, pošilja pošto z Vašim naslovom kot pošiljateljem, na primer nieuws@example.com. Vendar pošta prihaja s strežnikov te storitve, ne z Vašega poštnega strežnika.

Prejemniki, kot sta Gmail in Outlook.com, takrat preverijo: ali sme ta strežnik pošiljati pošto v imenu example.com, in ali se ujema podpis (lekcija 4.3 do vključno 4.5)? Če to ni urejeno, Vaš novičnik konča v neželeni pošti, ali pa storitev prepiše Vašega pošiljatelja v svoj lasten naslov. Zato Vas storitev prosi, da svojo domeno avtenticirate: nekaj zapisov v Vašem DNS.

Kaj storitev ne potrebuje: Vaše zapise MX. Ti določajo, kam gre Vaša dohodna pošta. Novičnik samo pošiljate; odgovori preprosto pridejo v Vaš lasten poštni predal. Zato zaradi novičniške storitve nikoli ne spreminjajte MX.

DKIM prek CNAME

Večina storitev omogoča ureditev DKIM z zapisi CNAME. Storitev sama upravlja ključ; Vi nanj zgolj kažete. Tako lahko storitev ključ zamenja, ne da bi morali Vi karkoli storiti.

Mailchimp v času pisanja pri novejših računih uporablja dva zapisa:

k2._domainkey.example.com.   3600   IN   CNAME   dkim2.mcsv.net.
k3._domainkey.example.com.   3600   IN   CNAME   dkim3.mcsv.net.

Starejši računi imajo pogosto en sam zapis k1._domainkey, ki kaže na dkim.mcsv.net. Druge storitve uporabljajo druge selektorje, na primer brevo1._domainkey ali ml._domainkey. Prevzemite točno to, kar prikazuje nadzorna plošča Vaše storitve. Imena in cilji se razlikujejo glede na storitev in glede na račun, včasih se tudi spremenijo.

k2 in k3 sta selektorja (lekcija 4.4). Vsaka storitev ima svoj lasten selektor, zato si zapisi med seboj in z DKIM ključem Vašega lastnega poštnega strežnika ne nasprotujejo.

Tri napake, ki jih skoraj vsak naredi vsaj enkrat

1. Podvojeno ime domene. Vaša nadzorna plošča pogosto sama doda ime domene za vneseno ime. Če vnesete k2._domainkey.example.com, nastane k2._domainkey.example.com.example.com. Vnesite samo k2._domainkey, razen če nadzorna plošča izrecno zahteva polno ime. Pod poljem je običajno prikazano, kakšno bo končno ime.
2. Pozabljena pika na koncu vrednosti. Brez pike lahko nadzorna plošča iz dkim2.mcsv.net naredi dkim2.mcsv.net.example.com. Nekatere nadzorne plošče piko dodajo same; po shranitvi preverite, kako zapis izgleda (lekcija 2.2).
3. TXT namesto CNAME. Če storitev zahteva CNAME, ustvarite CNAME. Zapis TXT z besedilom dkim2.mcsv.net ne naredi ničesar.

SPF: samo če storitev to zahteva

Pri SPF mnogi mislijo: vsaka storitev, ki pošilja pošto, mora biti v mojem zapisu SPF. To ni vedno res.

SPF preverja naslov v ovojnici pošte (Return-Path), ne naslova pošiljatelja, ki ga vidite. Mnoge novičniške storitve, med njimi Mailchimp, v ovojnici uporabljajo lastno domeno. Njihovo preverjanje SPF torej poteka prek njihove lastne domene, Vaš zapis SPF pa pri tem ne igra vloge. Mailchimp zato ne zahteva include v Vašem zapisu SPF.

Druge storitve v ovojnici uporabljajo naslov na Vaši domeni, ali pa Vam omogočijo nastavitev lastne poddomene (na primer bounce.example.com). Te zahtevajo include: v Vašem zapisu SPF, ali zapis SPF na tej poddomeni. Storite torej natanko to, kar storitev zahteva:

• če storitev zahteva include, ga dodajte v Vaš obstoječi zapis SPF, nikoli v drugega (lekcija 4.3);
• če storitev tega ne zahteva, ne dodajajte ničesar.

Zakaj biti varčen? Zapis SPF sme pri preverjanju povzročiti največ 10 DNS poizvedb. Vsak include, a, mx, exists in redirect se šteje, includi posamezne storitve pa pogosto spet vsebujejo svoje include. Pri spletnem gostovanju, Microsoft 365, novičniški storitvi, računovodskem paketu in CRM sistemu hitro presežete to mejo. Takrat postane celoten Vaš zapis SPF neveljaven (permerror). Odstranite include storitev, ki jih ne uporabljate več, ali ki jih ne zahtevajo.

DMARC: za to v resnici gre

DMARC (lekcija 4.5) odobri pošto, če SPF ali DKIM uspe in se ujema z domeno v naslovu pošiljatelja (poravnava). Pri novičniški storitvi, ki v ovojnici uporablja lastno domeno, SPF nikoli ne more biti poravnan z example.com. DMARC tedaj lahko uspe samo prek DKIM: podpisa z d=example.com, ki ga dobite samo, če ste nastavili zapise CNAME.

Zato:

1. najprej nastavite zapise DKIM storitve;
2. počakajte, da storitev sporoči, da je Vaša domena avtenticirana;
3. pošljite testno sporočilo samemu sebi in v glavah preverite, ali je DKIM pass z d=example.com;
4. šele nato prilagodite politiko DMARC z none na quarantine ali reject.

Če zapisa DMARC še nimate, mnoge storitve zahtevajo, da ga ustvarite. Začnite z p=none (lekcija 4.5). Veliki prejemniki, kot sta Gmail in Yahoo, od leta 2024 zahtevajo, da imajo pošiljatelji množične pošte zapis DMARC.

Odgovori in zavrnitve (bounce)

Če bralec odgovori na Vaš novičnik, odgovor gre na naslov za odgovore, ki ga nastavite v storitvi, in prek Vašega MX v Vaš lasten poštni predal. Nedostavljiva sporočila (bounce) gredo na naslov iz ovojnice in torej k storitvi, ki jih obdela. Tudi za to Vam ni treba spreminjati MX.

V praksi: tako izgleda v nadzorni plošči

V primeru nadzorne plošče DirectAdmin odprete Upravljanje DNS, kliknete Dodajanje zapisa, izberete CNAME, pri Imenu vnesete samo k2._domainkey in pri Vrednosti dkim2.mcsv.net. s piko. Nato enako ponovite za k3. V Moj WebOké poteka postopek na zavihku DNS na enak način; okno pod poljem za ime prikaže polno ime in opozori, če manjka pika.

V drugih nadzornih ploščah, kot so cPanel, Plesk, Cloudflare ali DNS zaslon Vašega registrarja, se gumbi imenujejo drugače, vendar gre za ista polja. Pri Cloudflare bodite pozorni na proxy: zapise za DKIM nastavite na "DNS only" (Cloudflare to pri CNAME zapisih z _domainkey večinoma že stori samodejno).

Povzetek

• Novičniška storitev ne potrebuje Vaših zapisov MX; pustite jih nespremenjene.
• DKIM se večinoma ureja prek zapisov CNAME z lastnim selektorjem. Prevzemite to, kar prikazuje Vaša nadzorna plošča.
• Vnesite samo prvi del imena in bodite pozorni na piko na koncu vrednosti.
• SPF include dodajte samo, če to storitev zahteva, v Vaš obstoječi zapis, in ostanite pod mejo 10 poizvedb.
• Pri takih storitvah DMARC uspe prek poravnave DKIM; svojo politiko zaostrite šele, ko DKIM deluje.

Kviz

Naloga

Naloga Z7.4: Prepoznavanje novičniške storitve. Poglejte, kako novičniška storitev sama ureja svoj DKIM.

1. Poiščite zapis CNAME za k2._domainkey.mailchimp.com in za k3._domainkey.mailchimp.com. Prepišite ciljna imena.
2. Poiščite zapis SPF za mailchimp.com in preštejte, koliko delov include: vsebuje.

Preverjanje ob oddaji zapise pridobi v živo.

Naloga O7.4: Samostojna nastavitev v Vaši vadbeni coni. Povežite simulirano novičniško storitev z Vašo vadbeno cono <code>.dnspractice.eu. V vadbeni coni uporabite lažno storitev newsletter-demo.dnspractice.eu; pri svoji pravi domeni pa vrednosti prevzemite iz nadzorne plošče svoje novičniške storitve.

1. Ustvarite CNAME k2._domainkey.<code>.dnspractice.eu, ki kaže na dkim2.newsletter-demo.dnspractice.eu. Bodite pozorni na ime: brez podvojene cone za njim.
2. Ustvarite CNAME k3._domainkey.<code>.dnspractice.eu, ki kaže na dkim3.newsletter-demo.dnspractice.eu.
3. Poskrbite, da je na <code>.dnspractice.eu natanko en zapis SPF, ki se začne z v=spf1 in konča z ~all ali -all. Za to storitev ne dodajte include.
4. Zapise MX na <code>.dnspractice.eu pustite nespremenjene: ta storitev jih ne potrebuje.

Za nadaljnje branje

Te strani opisujejo korake v nadzornih ploščah WebOké (DirectAdmin in Moj WebOké). V drugih nadzornih ploščah postopek deluje na enak način.

• Upravljanje zapisov DNS v Moj WebOké (s primeri za CNAME, TXT in zunanje storitve)
• Priročnik DirectAdmin 5.4: Zapisi CNAME in pika na koncu
• Priročnik DirectAdmin 5.8: DKIM vklopite in preverite
• Priročnik DirectAdmin 5.7: Nastavitev in dopolnitev zapisa SPF
• Kaj je DMARC? Razlaga v preprostem jeziku