Kontrolinis sąrašas: Jūsų el. paštas sutvarkytas

8 modulis: Perkėlimas ir Jūsų domeno sutvarkymas · Skaitymo trukmė: 13 min.

Mokymosi tikslas: Po šios pamokos galėsite pagal nuolatinį kontrolinį sąrašą nuo pradžios iki pabaigos patikrinti savo domeno el. paštą, paaiškinti rezultatą ir sudaryti veiksmų sąrašą teisinga tvarka.

Pagrindinės sąvokos: kontrolinis sąrašas, gavimas (MX, pašto serveris, null MX), prisijungimas (TLS, sertifikatas, prievadai 993/465/587), siuntimas (SPF, DKIM, DMARC), siuntimo serveris (PTR, FCrDNS, blokavimo sąrašai), šifruotas pristatymas (MTA-STS, TLS-RPT, DANE), pašto dėžutės ir adresai, saugumas, veiksmų sąrašas, periodinė priežiūra

Kodėl reikalinga nuolatinė tvarka?

Šiame kurse matėte daug atskirų dalių. Praktikoje jos yra tarpusavyje susijusios: DMARC politika neturi prasmės, jei SPF yra negaliojantis, o gražus SPF įrašas nepadės, jei MX nurodo į serverį, kurio nėra. Todėl kontrolinį sąrašą einate nuo apačios į viršų pagal grandinę: pirmiausia, ar paštas gali pasiekti Jus, tada, ar saugiai prisijungiate, tada, ar galima pasitikėti Jūsų siunčiamu paštu, ir tik po to pereinama prie smulkesnių dalykų.

DNS kurse pamokoje 8.5 yra kontrolinis sąrašas visam domenui (registracija, vardų serveriai, svetainė). Šis kontrolinis sąrašas gilinasi tik į el. paštą.

Prie kiekvieno punkto nurodyta: ką tikrinate, kaip (naudojant įrankį ar DNS užklausą) ir kada tai gerai. Baigiamojoje užduotyje programa tuos pačius patikrinimus atlieka automatiškai ir palygina rezultatą su tuo, ką radote Jūs.

A dalis: ar paštas gali ateiti?

A1. MX įrašai. Užklauskite MX <domenas>. Gerai, jei yra bent vienas MX, o mažiausio skaičiaus serveris turi A arba AAAA įrašą. MX, nukreiptas į vardą be adreso, reiškia, kad paštas nepasieks.
Ypatingas atvejis: 0 . yra null MX (RFC 7505). Tai reiškia „šis domenas negauna pašto“. Tai yra gerai domenui, kuris niekada negauna pašto, pavyzdžiui, example.com, ir blogai Jūsų verslo domenui.

A2. Pašto serveris atsako. Pirmasis MX serveris priima ryšius 25 prievadu. Namuose dažnai pats to negalėsite patikrinti, nes daugelis interneto paslaugų teikėjų blokuoja išeinantį srautą 25 prievadu. Internetinis įrankis arba baigiamoji užduotis tai padarys už Jus. Gerai, jei serveris pateikia 220 sveikinimą ir siūlo STARTTLS.

A3. Bandomasis laiškas iš išorės. Išsiųskite laišką iš adreso, esančio ne Jūsų domene. Ar jis pasiekia adresatą, ir ne šlamšto aplanke?

B dalis: ar galite saugiai prisijungti?

B1. IMAP 993 prievadu su serverio vardu, kurį naudojate savo pašto programoje. Gerai, jei TLS ryšys pavyksta, sertifikatas galioja, jame nurodytas serverio vardas ir sertifikatas nesibaigia per artimiausias 14 dienų.

B2. SMTP siuntimui: 465 prievadas (tiesioginis TLS) ir (arba) 587 (STARTTLS). Gerai, jei bent vienas iš jų veikia su galiojančiu sertifikatu, atitinkančiu serverio vardą, ir serveris prisijungimą (AUTH) siūlo tik po to, kai ryšys yra užšifruotas.

Jei čia gaunate klaidą, pirmiausia patikrinkite, ar naudojate savo paslaugų teikėjo serverio vardą, o ne nuosavą mail.<domenas> be sertifikato (pamoka 2.1 ir klaida 9 pamokoje 8.3).

C dalis: ar galima pasitikėti Jūsų siunčiamu paštu?

C1. SPF. Užklauskite TXT <domenas>. Gerai, jei:

• yra lygiai vienas įrašas su v=spf1;
• jis baigiasi ~all arba -all (niekada +all arba ?all); pradedantiesiems rekomenduojamas ~all, -all, jei esate tikri, kad visi siuntėjai yra įtraukti;
• rekursinis paieškų skaičius (include, a, mx, ptr, exists, redirect, taip pat ir kiekviename include viduje) neviršija 10, ir ne daugiau kaip 2 paieškos grąžina tuščią rezultatą.

C2. DKIM. Kiekvienam siuntėjui (Jūsų pašto serveriui, Microsoft 365, Jūsų naujienlaiškio paslaugai, Jūsų internetinei parduotuvei) po selektorių. Jį rasite to siuntėjo laiško antraštėse (s= ir d= antraštėje DKIM-Signature, pamoka 1.5). Užklauskite TXT <selektorius>._domainkey.<domenas> (galbūt per CNAME). Gerai, jei yra netuščias p= su 2048 bitų ar didesniu raktu RSA atveju (arba ed25519 raktu).

C3. DMARC. Užklauskite TXT _dmarc.<domenas>. Gerai, jei yra lygiai vienas įrašas su v=DMARC1, galiojančiu p= (none, quarantine arba reject) ir ataskaitų adresu (rua=mailto:...). Rekomendacija: pradėkite nuo p=none ir skaitykite ataskaitas; tik kai visi siuntėjai bus suderinti (alignment), pereikite prie quarantine ir vėliau reject (pamoka 4.4). p=none be ataskaitų adreso yra prarasta galimybė: tada nieko nematysite.

C4. Suderinimas (alignment) praktikoje. Išsiųskite laišką iš kiekvieno siuntėjo į savo Gmail arba Outlook.com adresą ir perskaitykite Authentication-Results: ar yra dmarc=pass?

D dalis: siuntimo serveris

D1. Atvirkštinis DNS (reverse DNS). Savo paties išsiųsto laiško antraštėse suraskite IP adresą serverio, kuris perdavė laišką į išorinį pasaulį (apatinė Received eilutė, atkeliavusi ne iš Jūsų pačių įrenginio, pamoka 1.5). Užklauskite PTR (dig -x <ip>). Gerai, jei yra vardas, ir tas vardas vėl nurodo į tą patį IP (FCrDNS, pamoka 5.1). Ir Jūsų domeno MX serveriai turėtų turėti tvarkingą PTR.

D2. Blokavimo sąrašai. Patikrinkite, ar tas siuntimo IP (ir Jūsų MX IP) yra žinomuose blokavimo sąrašuose. Gerai, jei jo nėra niekur. Jei yra: pirmiausia rasti priežastį ir ją pašalinti, tik tada prašyti pašalinti iš sąrašo (pamoka 5.2). Dalijamosios prieglobos atveju tai yra Jūsų paslaugų teikėjo užduotis: pateikite jam IP adresą ir klaidos pranešimą.

E dalis: patikslinimai (neprivaloma)

E1. MTA-STS ir TLS-RPT. TXT _mta-sts.<domenas> ir TXT _smtp._tls.<domenas>. Neprivaloma. Jei turite MTA-STS, politikos failas turi būti pasiekiamas adresu https://mta-sts.<domenas>/.well-known/mta-sts.txt ir atitikti Jūsų MX (pamoka 5.4).

E2. DANE. Tik jei Jūsų domenas ir MX yra pasirašyti su DNSSEC: TLSA įrašai adresu _25._tcp.<mx-serveris>. Dažniausiai tai už savo MX sutvarko Jūsų pašto paslaugų teikėjas.

F dalis: pašto dėžutės, adresai ir saugumas

To už Jus negali patikrinti jokia programa, tačiau tai taip pat svarbu:

• F1. Jokio catch-all adreso; tik sąmoningai naudojami aliasai ir peradresavimai; jokio peradresavimo į Gmail ar kitus išorinius adresus (pamoka 3.3).
• F2. Nė viena pašto dėžutė neviršija 80 % savo kvotos (pamoka 3.2).
• F3. Visi naudoja IMAP, o ne POP3 keliuose įrenginiuose (pamoka 1.3).
• F4. Stiprūs, unikalūs slaptažodžiai slaptažodžių tvarkyklėje; jokių senų įrenginių su senais slaptažodžiais; jokių nežinomų peradresavimo taisyklių pašto dėžutėse (pamoka 3.4).
• F5. Svetainės formos siunčiamos per SMTP su Jūsų pačių adresu kaip From (pamoka 7.3); naujienlaiškiai siunčiami per paslaugą su savo DKIM (pamoka 7.1).

Nuo rezultato prie veiksmų sąrašo

Po patikrinimo turėsite žalius, oranžinius ir raudonus punktus. Tvarkykite juos šia tvarka:

1. Raudona A arba B dalyje: paštas nepasiekia arba negalite saugiai prisijungti. Pirmiausia tai spręsti.
2. Raudona C dalyje: negaliojantis SPF (du įrašai, daugiau nei dešimt paieškų), trūksta DKIM kuriam nors siuntėjui, du DMARC įrašai. Tai lemia, ar Jūsų paštas pasieks adresatą.
3. Raudona D dalyje: nėra PTR arba įrašas blokavimo sąraše. Dažniausiai tai Jūsų paslaugų teikėjo užduotis.
4. Oranžinė: p=none be ataskaitų, ?all, 1024 bitų raktas, sertifikatas, kurio galiojimas netrukus baigiasi.
5. E ir F dalys: patobulinimai ir priežiūra.

Po to suplanuokite priežiūrą: kiekvieną ketvirtį iš naujo pereikite kontrolinį sąrašą, ir visada po naujos paslaugos prijungimo ar perkėlimo. Kas mėnesį skaitykite savo DMARC ataskaitas, arba paveskite ataskaitų paslaugai įspėti Jus, kai atsiranda naujas šaltinis.

Praktikoje: įrankiai

Patikrinimams galite naudoti įvairius įrankius. WebOké atveju tai, pavyzdžiui, nemokamas E. pašto patikrinimas ir Domeno sveikata (tinka ir domenams, kurie nėra registruoti WebOké); nepriklausomi įrankiai, tokie kaip internet.nl el. pašto testas ir MXToolbox, atlieka panašius patikrinimus. Nė vienas įrankis nemato visko: DKIM selektorių beveik visada turite nurodyti patys, o siuntimo IP adresą turite paimti iš savo pačių antraščių.

Santrauka

• Tikrinkite grandinės tvarka: gavimas, prisijungimas, pasitikėjimas, siuntimo serveris, patikslinimai, priežiūra.
• Gavimas: MX su egzistuojančiu serveriu, null MX tik domenams be pašto.
• Prisijungimas: galiojantis sertifikatas 993 ir 465/587 prievaduose, atitinkantis naudojamą serverio vardą.
• Pasitikėjimas: vienas SPF per dešimt paieškų su ~all/-all, DKIM kiekvienam siuntėjui, vienas DMARC su rua, ir suderinimas (alignment) praktikoje.
• Siuntimo serveris: PTR su FCrDNS ir jokių blokavimo sąrašų. Sudarykite veiksmų sąrašą pagal tvarką ir kartokite patikrinimą kiekvieną ketvirtį.

Testas

Užduotis

Užduotis Z8.4: Baigiamoji užduotis: Jūsų paties domenas. Įveskite savo domeną (jei neturite, naudokite internet.nl kaip pavyzdį), serverio vardą, kurį naudojate savo pašto programoje, DKIM selektorių(-ius), kuriuos radote antraštėse, ir savo siuntimo serverio IP adresą. Prie kiekvieno punkto nuo A iki E dalies įrašykite tai, ką radote patys. Programa pati atlieka kiekvieną dalinį patikrinimą ir prie kiekvieno punkto pažymi žaliai, oranžiškai ar raudonai šalia Jūsų atsakymo, su nuoroda į atitinkamą pamoką. Po to parašykite savo veiksmų sąrašą (ne daugiau kaip penki punktai, eilės tvarka).

Užduotis O8.4: F dalies patikrinimas. Atsakykite į penkis F dalies klausimus apie savo pašto dėžutes ir užsirašykite, ką ketinate pakeisti.

Skaitykite daugiau

Šiuose straipsniuose aprašyti veiksmai galioja WebOké valdymo skydeliams; pas kitus paslaugų teikėjus veikia panašiai.

• WebOké vadovas 5.17: Domeno ir el. pašto būklė: tikrinimas ir sutvarkymas
• WebOké vadovas 6.7: El. pašto nustatymo kortelė (MX, SPF, DKIM, DMARC)
• Internet.nl kontrolinis sąrašas: pasiekite 100% su savo svetaine ir el. paštu
• Svetainė arba el. paštas neveikia po perkėlimo ar DNS pakeitimo: patikrinkite savo domeną
• Nemokamas DNS kursas 8.5: Kontrolinis sąrašas Jūsų pačių domenui
• Internet.nl, patikrinkite savo el. paštą: https://internet.nl/test-mail/