Kontrolinis sąrašas: sutvarkykite savo el. paštą

8 modulis: Perkėlimas ir domeno tvarkymas · Skaitymo trukmė: 13 min.

Mokymosi tikslas: Po šios pamokos galėsite pagal nuolatinį kontrolinį sąrašą nuo pradžios iki galo patikrinti savo paties domeno el. paštą, paaiškinti rezultatą ir tinkama tvarka sudaryti veiksmų sąrašą.

Pagrindinės sąvokos: kontrolinis sąrašas, gavimas (MX, pašto serveris, null MX), prisijungimas (TLS, sertifikatas, prievadai 993/465/587), siuntimas (SPF, DKIM, DMARC), siunčiantis serveris (PTR, FCrDNS, blokavimo sąrašai), šifruotas pristatymas (MTA-STS, TLS-RPT, DANE), pašto dėžutės ir adresai, saugumas, veiksmų sąrašas, periodinė priežiūra

Kodėl svarbi nuoseklumo tvarka?

Šioje kursoje matėte daug atskirų dalių. Praktikoje jos visos susijusios tarpusavyje: DMARC politika neturi prasmės, jei SPF yra negaliojantis, o tvarkingas SPF įrašas nepadės, jei MX nurodo serverį, kuris neegzistuoja. Todėl kontrolinį sąrašą einate nuo apačios į viršų pagal grandinę: pirmiausia, ar paštas gali atkeliauti, tada, ar saugiai prisijungiate, tada, ar galima pasitikėti Jūsų siunčiamu paštu, ir tik po to pereinate prie smulkesnio tobulinimo.

DNS kurso pamokoje 8.5 pateiktas kontrolinis sąrašas visam domenui (registracija, vardų serveriai, svetainė). Šis kontrolinis sąrašas giliau nagrinėja tik el. paštą.

Prie kiekvieno punkto nurodyta: ką tikrinate, kaip (naudojant įrankį arba DNS užklausą) ir kada rezultatas yra geras. Baigiamojoje užduotyje programa automatiškai atlieka tas pačias patikras ir rezultatą palygina su tuo, ką radote Jūs.

A dalis: ar paštas gali atkeliauti?

A1. MX įrašai. Užklauskite MX <domenas>. Gerai, jei yra bent vienas MX, ir serveris su mažiausiu skaičiumi turi A arba AAAA įrašą. MX, nurodantis vardą be adreso, reiškia, kad paštas neatkeliauja.
Ypatingas atvejis: 0 . yra null MX (RFC 7505). Tai reiškia „šis domenas negauna pašto“. Tai yra gerai domenui, kuris niekada negauna pašto, pavyzdžiui, example.com, ir blogai Jūsų verslo domenui.

A2. Pašto serveris atsako. Pirmasis MX serveris priima ryšius 25 prievadu. Namuose to dažnai patys negalėsite patikrinti, nes daugelis interneto paslaugų teikėjų blokuoja išeinantį srautą 25 prievadu. Internetinis įrankis arba baigiamoji užduotis tai padarys už Jus. Gerai, jei serveris pateikia 220 pasisveikinimą ir siūlo STARTTLS.

A3. Bandomasis laiškas iš išorės. Išsiųskite laišką iš adreso, esančio už Jūsų domeno ribų. Ar jis atkeliauja, ir ar ne į šlamšto aplanką?

B dalis: ar galite saugiai prisijungti?

B1. IMAP 993 prievadu su serverio vardu, kurį naudojate savo pašto programoje. Gerai, jei TLS ryšys pavyksta, sertifikatas galioja, jame nurodytas serverio vardas ir sertifikatas nesibaigia per artimiausias 14 dienų.

B2. SMTP siuntimui: prievadas 465 (tiesioginis TLS) ir (arba) 587 (STARTTLS). Gerai, jei veikia bent vienas iš jų su galiojančiu sertifikatu serverio vardui, ir serveris prisijungimą (AUTH) siūlo tik tada, kai ryšys jau šifruotas.

Jei čia gaunate klaidą, pirmiausia patikrinkite, ar naudojate savo paslaugų teikėjo serverio vardą, o ne savo mail.<domenas> be sertifikato (pamoka 2.1 ir klaida 9 pamokoje 8.3).

C dalis: ar galima pasitikėti Jūsų siunčiamu paštu?

C1. SPF. Užklauskite TXT <domenas>. Gerai, jei:

• yra lygiai vienas įrašas su v=spf1;
• jis baigiasi ~all arba -all (niekada +all arba ?all); pradedantiesiems rekomenduojama ~all, -all rinkitės, jei esate tikri, kad visi siuntėjai yra įtraukti;
• rekursyvus paieškų skaičius (include, a, mx, ptr, exists, redirect, taip pat ir kiekvieno include viduje) neviršija 10, ir ne daugiau kaip 2 paieškos grąžina tuščią rezultatą.

C2. DKIM. Kiekvienam siuntėjui (Jūsų pašto serveriui, Microsoft 365, naujienlaiškio paslaugai, el. parduotuvei) savo selektorius. Jį rasite to siuntėjo laiško kopregelėse (s= ir d= lauke DKIM-Signature, pamoka 1.5). Užklauskite TXT <selector>._domainkey.<domenas> (galbūt per CNAME). Gerai, jei yra netuščias p=, su 2048 bitų ar ilgesniu raktu RSA atveju (arba ed25519 raktu).

C3. DMARC. Užklauskite TXT _dmarc.<domenas>. Gerai, jei yra lygiai vienas įrašas su v=DMARC1, su galiojančiu p= (none, quarantine arba reject) ir ataskaitų adresu (rua=mailto:...). Rekomenduojama tvarka: pradėkite nuo p=none ir skaitykite ataskaitas; tik kai visi siuntėjai bus suderinti (alignment), pereikite prie quarantine ir vėliau prie reject (pamoka 4.4). p=none be ataskaitų adreso yra prarasta galimybė: tada nieko nematysite.

C4. Suderinimas (alignment) praktikoje. Išsiųskite laišką iš kiekvieno siuntėjo į savo Gmail arba Outlook.com adresą ir perskaitykite Authentication-Results: ar dmarc=pass?

D dalis: siunčiantis serveris

D1. Atvirkštinis DNS (reverse DNS). Jūsų paties išsiųsto laiško kopregelėse suraskite IP adresą serverio, kuris laišką perdavė išorei (apatinė Received eilutė, kuri ateina ne iš Jūsų paties įrenginio, pamoka 1.5). Užklauskite PTR (dig -x <ip>). Gerai, jei yra vardas, ir tas vardas vėl nurodo tą patį IP (FCrDNS, pamoka 5.1). Taip pat Jūsų domeno MX serveriai turėtų turėti tvarkingą PTR.

D2. Blokavimo sąrašai. Patikrinkite, ar tas siunčiantis IP (ir Jūsų MX IP) yra žinomuose blokavimo sąrašuose. Gerai, jei jo niekur nėra. Jei yra: pirmiausia suraskite ir pašalinkite priežastį, tik tada prašykite pašalinti iš sąrašo (delisting) (pamoka 5.2). Esant bendrai talpinimo (hosting) paslaugai, tai yra Jūsų paslaugų teikėjo užduotis: praneškite jam IP adresą ir klaidos pranešimą.

E dalis: tobulinimas (neprivaloma)

E1. MTA-STS ir TLS-RPT. TXT _mta-sts.<domenas> ir TXT _smtp._tls.<domenas>. Neprivaloma. Jei turite MTA-STS, politikos failas adresu https://mta-sts.<domenas>/.well-known/mta-sts.txt turi būti pasiekiamas ir atitikti Jūsų MX (pamoka 5.4).

E2. DANE. Tik jei Jūsų domenas ir MX yra pasirašyti DNSSEC: TLSA įrašai adresu _25._tcp.<mx-host>. Dažniausiai tai už savo MX sutvarko Jūsų pašto paslaugų teikėjas.

F dalis: pašto dėžutės, adresai ir saugumas

Šito programa už Jus patikrinti negali, bet tai taip pat svarbu:

• F1. Jokio catch-all; tik tie aliasai ir peradresavimai, kuriuos naudojate sąmoningai; jokio peradresavimo į Gmail ar kitus išorinius adresus (pamoka 3.3).
• F2. Jokia pašto dėžutė neviršija 80 % savo kvotos (pamoka 3.2).
• F3. Visi naudoja IMAP, o ne POP3 keliuose įrenginiuose (pamoka 1.3).
• F4. Stiprūs, unikalūs slaptažodžiai slaptažodžių tvarkyklėje; jokių senų įrenginių su senais slaptažodžiais; jokių nežinomų peradresavimo taisyklių pašto dėžutėse (pamoka 3.4).
• F5. Svetainės formos siunčiamos per SMTP su Jūsų paties adresu laukelyje From (pamoka 7.3); naujienlaiškiai per paslaugą su savo DKIM (pamoka 7.1).

Nuo rezultato prie veiksmų sąrašo

Po patikros turėsite žalius, oranžinius ir raudonus punktus. Tvarkykite juos šia tvarka:

1. Raudona A arba B dalyje: paštas neatkeliauja arba negalite saugiai prisijungti. Pirmiausia spręskite tai.
2. Raudona C dalyje: negaliojantis SPF (du įrašai, daugiau nei dešimt paieškų), DKIM trūksta kuriam nors siuntėjui, du DMARC įrašai. Tai lemia, ar Jūsų paštas apskritai atkeliauja.
3. Raudona D dalyje: nėra PTR arba įtraukimas į blokavimo sąrašą. Dažniausiai tai Jūsų paslaugų teikėjo užduotis.
4. Oranžinė: p=none be ataskaitų, ?all, 1024 bitų raktas, sertifikatas, kurio galiojimas netrukus baigiasi.
5. E ir F dalys: patobulinimai ir priežiūra.

Po to suplanuokite priežiūrą: kiekvieną ketvirtį iš naujo peržiūrėkite kontrolinį sąrašą, ir visada po naujos paslaugos prijungimo ar persikėlimo. Kas mėnesį skaitykite savo DMARC ataskaitas arba leiskite ataskaitų paslaugai įspėti Jus, kai atsiranda naujas šaltinis.

Praktikoje: įrankiai

Patikroms galite naudoti įvairius įrankius. „WebOké“ atveju tai, pavyzdžiui, nemokamas El. pašto patikra ir Domeno sveikata (tinka ir domenams, kurie nėra registruoti „WebOké“); nepriklausomi įrankiai, tokie kaip internet.nl el. pašto testas ir MXToolbox, atlieka panašias patikras. Nė vienas įrankis nemato visko: DKIM selektorių beveik visada turėsite nurodyti patys, o siunčiantį IP adresą rasite savo paties kopregelėse.

Santrauka

• Tikrinkite grandinės tvarka: gavimas, prisijungimas, pasitikėjimas, siunčiantis serveris, tobulinimas, priežiūra.
• Gavimas: MX su egzistuojančiu serveriu, null MX tik domenams be pašto.
• Prisijungimas: galiojantis sertifikatas 993 ir 465/587 prievaduose serverio vardui, kurį naudojate.
• Pasitikėjimas: vienas SPF, neviršijantis dešimties paieškų, su ~all/-all, DKIM kiekvienam siuntėjui, vienas DMARC su rua, ir suderinimas (alignment) praktikoje.
• Siunčiantis serveris: PTR su FCrDNS ir jokių blokavimo sąrašų. Sudarykite veiksmų sąrašą tvarka ir kartokite patikrą kiekvieną ketvirtį.

Testas

Užduotis

Užduotis Z8.4: Baigiamoji užduotis: Jūsų domenas. Įveskite savo domeną (jei neturite, kaip pavyzdį naudokite internet.nl), serverio vardą, kurį naudojate savo pašto programoje, DKIM selektorių (-ius), kuriuos radote savo kopregelėse, ir savo siunčiančio serverio IP adresą. Prie kiekvieno punkto nuo A iki E dalies įrašykite, ką patys radote. Programa pati atlieka kiekvieną dalinę patikrą ir prie kiekvieno punkto, šalia Jūsų atsakymo, parodo žalią, oranžinę ar raudoną spalvą su nuoroda į pamoką. Po to surašykite savo veiksmų sąrašą (ne daugiau kaip penki punktai, tvarka).

Užduotis O8.4: Peržiūrėti F dalį. Atsakykite į penkis F dalies klausimus apie savo pačių pašto dėžutes ir užsirašykite, ką keisite.

Skaitykite daugiau

Šiuose straipsniuose aprašyti veiksmai galioja „WebOké“ valdymo skydeliams; pas kitus paslaugų teikėjus procesas yra panašus.

• WebOké vadovas 5.17: Domeno ir el. pašto būklė: tikrinimas ir sutvarkymas
• WebOké vadovas 6.7: El. pašto nustatymo kortelė (MX, SPF, DKIM, DMARC)
• Internet.nl kontrolinis sąrašas: pasiekite 100% su Jūsų svetaine ir el. paštu
• Svetainė arba el. paštas neveikia po perkėlimo ar DNS įrašų pakeitimo: patikrinkite savo domeną
• Nemokamas DNS kursas 8.5: Kontrolinis sąrašas Jūsų pačių domenui
• Internet.nl, patikrinkite savo el. paštą: https://internet.nl/test-mail/