Kontrolni seznam: Vaša e-pošta v redu

Modul 8: Selitev in urejenost Vaše domene · Čas branja: 13 minut

Cilj lekcije: Po tej lekciji boste s stalnim kontrolnim seznamom lahko preverili e-pošto svoje lastne domene od začetka do konca, razložili rezultat in sestavili seznam ukrepov v pravilnem vrstnem redu.

Ključni pojmi: kontrolni seznam, prejemanje (MX, poštni strežnik, null MX), povezovanje (TLS, certifikat, vrata 993/465/587), pošiljanje (SPF, DKIM, DMARC), strežnik za pošiljanje (PTR, FCrDNS, seznami blokad), šifrirana dostava (MTA-STS, TLS-RPT, DANE), poštni predali in naslovi, varnost, seznam ukrepov, redno vzdrževanje

Zakaj stalen vrstni red?

V tem tečaju ste videli veliko posameznih delov. V praksi so med seboj povezani: pravilnik DMARC nima smisla, če SPF ni veljaven, in lep zapis SPF ne pomaga, če MX kaže na strežnik, ki ne obstaja. Zato kontrolni seznam preverjate od spodaj navzgor po verigi: najprej, ali pošta sploh lahko prispe, nato, ali se povezujete varno, nato, ali je Vaša poslana pošta vredna zaupanja, in šele nato izpopolnitev.

Tečaj o DNS ima v lekciji 8.5 kontrolni seznam za celotno domeno (registracija, imenski strežniki, spletno mesto). Ta kontrolni seznam se poglablja samo v e-pošto.

Pri vsaki točki je navedeno: kaj preverjate, kako (z orodjem ali poizvedbo DNS) in kdaj je v redu. V zaključni nalogi program samodejno izvede iste preverbe in rezultat postavi ob bok tistemu, kar ste ugotovili sami.

Del A: ali lahko pošta prispe?

A1. Zapisi MX. Poizvedujte MX <domena>. V redu je, če obstaja vsaj en zapis MX in ima gostitelj z najnižjo številko zapis A ali AAAA. MX, ki kaže na ime brez naslova, pomeni, da pošta ne prispe.
Poseben primer: 0 . je null MX (RFC 7505). To pomeni "ta domena ne prejema pošte". To je v redu za domeno, ki nikoli ne prejema pošte, kot je example.com, in narobe za Vašo poslovno domeno.

A2. Poštni strežnik se odziva. Prvi gostitelj MX sprejema povezave na vratih 25. Doma tega pogosto ne morete testirati sami, ker mnogi ponudniki internetnih storitev blokirajo odhodni promet na vratih 25. Spletno orodje ali zaključna naloga to naredi za Vas. V redu je, če strežnik vrne pozdrav 220 in ponudi STARTTLS.

A3. Testna pošta od zunaj. Pošljite sporočilo z naslova zunaj Vaše domene. Ali prispe, in ne v mapo z neželeno pošto?

Del B: ali se lahko povežete varno?

B1. IMAP na vratih 993 z imenom strežnika, ki ga uporabljate v svojem poštnem programu. V redu je, če povezava TLS uspe, je certifikat veljaven, vsebuje ime strežnika in certifikat ne poteče v naslednjih 14 dneh.

B2. SMTP za pošiljanje: vrata 465 (neposredni TLS) in/ali 587 (STARTTLS). V redu je, če deluje vsaj eno od obeh z veljavnim certifikatom za ime strežnika, strežnik pa prijavo (AUTH) ponudi šele, ko je povezava šifrirana.

Če tu dobite napako, najprej preverite, ali uporabljate ime strežnika Vašega ponudnika in ne lastnega mail.<domena> brez certifikata (lekcija 2.1 in napaka 9 v lekciji 8.3).

Del C: ali je Vaša poslana pošta vredna zaupanja?

C1. SPF. Poizvedujte TXT <domena>. V redu je, če:

• obstaja točno en zapis z v=spf1;
• se konča z ~all ali -all (nikoli +all ali ?all); za začetnike je priporočilo ~all, -all pa, če ste prepričani, da so vsi pošiljatelji vključeni;
• rekurzivno štetje poizvedb (include, a, mx, ptr, exists, redirect, tudi znotraj vsakega include) ne preseže 10, in se kvečjemu 2 poizvedbi vrneta prazni.

C2. DKIM. Za vsakega pošiljatelja (Vaš poštni strežnik, Microsoft 365, Vašo storitev za novičnike, Vašo spletno trgovino) en selektor. Najdete ga v glavah sporočila tega pošiljatelja (s= in d= v DKIM-Signature, lekcija 1.5). Poizvedujte TXT <selektor>._domainkey.<domena> (po potrebi prek CNAME). V redu je, če obstaja neprazen p=, s ključem dolžine 2048 bitov ali več za RSA (ali ključem ed25519).

C3. DMARC. Poizvedujte TXT _dmarc.<domena>. V redu je, če obstaja točno en zapis z v=DMARC1, z veljavnim p= (none, quarantine ali reject) in naslovom za poročila (rua=mailto:...). Priporočena smer: začnite z p=none in berite poročila; šele ko so vsi pošiljatelji usklajeni, preidete na quarantine in nato na reject (lekcija 4.4). p=none brez naslova za poročila je zamujena priložnost: tako ne vidite ničesar.

C4. Usklajenost (alignment) v praksi. Pošljite sporočilo od vsakega pošiljatelja na lasten naslov Gmail ali Outlook.com in preberite Authentication-Results: ali piše dmarc=pass?

Del D: strežnik za pošiljanje

D1. Obratni DNS. V glavah sporočila, ki ste ga sami poslali, poiščite IP-naslov strežnika, ki je sporočilo predal zunanjemu svetu (najnižja vrstica Received, ki prihaja od zunaj Vaše lastne naprave, lekcija 1.5). Poizvedujte PTR (dig -x <ip>). V redu je, če obstaja ime in to ime nazaj kaže na isti IP (FCrDNS, lekcija 5.1). Tudi strežniki MX Vaše domene morajo imeti urejen PTR.

D2. Seznami blokad. Preverite ta IP za pošiljanje (in IP Vašega MX) na znanih seznamih blokad. V redu je, če ni uvrščen nikamor. Če je uvrščen: najprej poiščite in odpravite vzrok, šele nato zahtevajte izbris s seznama (lekcija 5.2). Pri skupnem gostovanju je to naloga Vašega ponudnika: posredujte mu IP-naslov in sporočilo o napaki.

Del E: izpopolnitev (neobvezno)

E1. MTA-STS in TLS-RPT. TXT _mta-sts.<domena> in TXT _smtp._tls.<domena>. Ni obvezno. Če imate MTA-STS, mora biti datoteka s pravilnikom dosegljiva na https://mta-sts.<domena>/.well-known/mta-sts.txt in se mora ujemati z Vašim MX (lekcija 5.4).

E2. DANE. Samo če sta Vaša domena in MX podpisana z DNSSEC: zapisi TLSA na _25._tcp.<mx-gostitelj>. Večinoma to za svoj lastni MX uredi Vaš ponudnik e-pošte.

Del F: poštni predali, naslovi in varnost

Tega program ne more preveriti namesto Vas, a spada zraven:

• F1. Brez catch-all; samo aliasi in preusmeritve, ki jih zavestno uporabljate; brez preusmeritve na Gmail ali druge zunanje naslove (lekcija 3.3).
• F2. Noben poštni predal ni nad 80 % svoje kvote (lekcija 3.2).
• F3. Vsi uporabljajo IMAP, ne POP3 na več napravah (lekcija 1.3).
• F4. Močna, edinstvena gesla v upravitelju gesel; brez starih naprav s starimi gesli; brez neznanih pravil za preusmeritev v poštnih predalih (lekcija 3.4).
• F5. Obrazci na spletnem mestu pošiljajo prek SMTP z Vašim lastnim naslovom kot From (lekcija 7.3); novičniki prek storitve z lastnim DKIM (lekcija 7.1).

Od rezultata do seznama ukrepov

Po preverbi imate zelene, oranžne in rdeče točke. Odpravljajte jih v tem vrstnem redu:

1. Rdeče v delu A ali B: pošta ne prispe ali se ne morete varno povezati. To rešite najprej.
2. Rdeče v delu C: SPF ni veljaven (dva zapisa, več kot deset poizvedb), DKIM manjka za nekega pošiljatelja, dva zapisa DMARC. To določa, ali Vaša pošta sploh prispe.
3. Rdeče v delu D: brez PTR ali uvrstitev na seznam blokad. Večinoma naloga Vašega ponudnika.
4. Oranžno: p=none brez poročil, ?all, ključ dolžine 1024 bitov, certifikat, ki bo kmalu potekel.
5. Del E in F: izboljšave in vzdrževanje.

Nato načrtujte vzdrževanje: vsako četrtletje ponovite kontrolni seznam, in vedno po povezavi nove storitve ali selitvi. Mesečno berite svoja poročila DMARC, ali pa si uredite, da Vas storitev za poročila opozori, ko se pojavi nov vir.

V praksi: orodja

Za te preverbe lahko uporabite različna orodja. Pri WebOké sta to na primer brezplačna E-poštni pregled in Zdravje domene (tudi za domene, ki niso pri WebOké); neodvisna orodja, kot je e-poštni test strani internet.nl in MXToolbox, opravljajo podobne preverbe. Nobeno orodje ne vidi vsega: selektor DKIM morate skoraj vedno navesti sami, IP-naslov za pošiljanje pa razberete iz svojih lastnih glav sporočila.

Povzetek

• Preverjajte po vrstnem redu verige: prejemanje, povezovanje, zaupanje, strežnik za pošiljanje, izpopolnitev, upravljanje.
• Prejemanje: MX z obstoječim gostiteljem, null MX samo za domene brez pošte.
• Povezovanje: veljaven certifikat na 993 in 465/587 za ime strežnika, ki ga uporabljate.
• Zaupanje: en SPF znotraj desetih poizvedb z ~all/-all, DKIM za vsakega pošiljatelja, en DMARC z rua, in usklajenost v praksi.
• Strežnik za pošiljanje: PTR s FCrDNS in brez seznamov blokad. Sestavite seznam ukrepov po prednosti in ponovite preverbo vsako četrtletje.

Kviz

Naloga

Naloga Z8.4: Zaključna naloga: Vaša lastna domena. Vnesite svojo lastno domeno (če je nimate, uporabite internet.nl kot primer), ime strežnika, ki ga uporabljate v svojem poštnem programu, selektor(je) DKIM, ki ste jih našli v glavah sporočil, in IP-naslov svojega strežnika za pošiljanje. Za vsako točko od dela A do dela E vnesite, kaj ste ugotovili sami. Program vsako delno preverbo izvede samodejno in ob Vašem odgovoru prikaže zeleno, oranžno ali rdečo oznako, s povezavo do lekcije. Nato napišite svoj seznam ukrepov (največ pet točk, po vrstnem redu).

Naloga O8.4: Preverite del F. Odgovorite na petih vprašanj iz dela F za svoje lastne poštne predale in zapišite, kaj boste spremenili.

Za nadaljnje branje

Koraki v teh člankih veljajo za nadzorne plošče WebOké; pri drugih ponudnikih deluje podobno.

• Priročnik WebOké 5.17: Zdravje domene in e-pošte: preverjanje in odpravljanje težav
• Priročnik WebOké 6.7: Kartica Nastavitev e-pošte (MX, SPF, DKIM, DMARC)
• Kontrolni seznam internet.nl: dosezite 100 % z Vašim spletnim mestom in e-pošto
• Spletna stran ali e-pošta ne deluje po selitvi ali spremembi DNS: preverite svojo domeno
• Brezplačen tečaj DNS 8.5: Kontrolni seznam za Vašo lastno domeno
• Internet.nl, preizkusite svojo e-pošto: https://internet.nl/test-mail/