Sinonimai, peradresavimas ir catch-all: naudinga, bet su rizika

3 modulis: Pašto dėžutės valdymas · Skaitymo trukmė: 11 min.

Mokymosi tikslas: Po šios pamokos galėsite pasirinkti tarp el. pašto dėžutės, sinonimo, peradresavimo ir catch-all, ir paaiškinti, kodėl peradresavimas į išorinį adresą bei catch-all gali pakenkti Jūsų pašto pristatomumui.

Pagrindinės sąvokos: el. pašto dėžutė, sinonimas, forwarder (peradresavimas), vidinis ir išorinis peradresavimas, SPF nutrūksta peradresuojant, SRS (Sender Rewriting Scheme), DKIM peradresuojant, ARC (RFC 8617), catch-all, žodyno ataka (dictionary attack), backscatter, siuntimas kito adreso vardu

Keturi būdai, kaip padaryti, kad adresas veiktų

Jei norite, kad offerte@example.com veiktų, turite keturis pasirinkimus:

Kai kuriose valdymo skydeliuose sinonimas techniškai yra tas pats, kas peradresavimas į adresą tame pačiame serveryje. Svarbus skirtumas yra toks: ar paštas lieka tame pačiame serveryje, ar jis išsiunčiamas į išorę?

Peradresavimas Jūsų paties domeno viduje: jokių problemų

Jei peradresuojate offerte@example.com į info@example.com, ir abu yra tame pačiame serveryje, serveris tiesiog pristato paštą į info@ el. pašto dėžutę. Niekas nesiunčiama per internetą, niekas iš naujo netikrinama. Tai saugu ir patikima.

Peradresavimas į išorę: kur kyla problemų

Kitaip yra, jei peradresuojate į adresą pas kitą paslaugų teikėją, pavyzdžiui, asmeninį adresą Gmail ar Outlook.com. Tada Jūsų serveris iš naujo išsiunčia paštą, dabar į Gmail. O Gmail tikrina paštą taip, tarsi jis būtų iš Jūsų serverio.

Tarkime: klant@example.net siunčia laišką adresu info@example.com. Jūsų serveris jį peradresuoja į Gmail. Ką mato Gmail?

• Siuntėjas (From): klant@example.net.
• Voko siuntėjas (envelope sender): vis dar klant@example.net, nebent Jūsų serveris jį perrašo.
• Siunčiantis serveris: Jūsų serveris, pavyzdžiui, 192.0.2.25.

Gmail patikrina example.net SPF įrašą. Ten, žinoma, Jūsų serverio nėra. SPF nepavyksta (fail). Jei example.net turi DMARC politiką p=reject, ir laiškas neturi galiojančio DKIM parašo, Gmail atmeta laišką. Jūsų serveris gauna grąžintą laišką (bounce), o jis siunčiamas... pirminiam siuntėjui, kuris dabar gauna klaidos pranešimą iš Jūsų serverio.

Yra trys mechanizmai, kurie tai sušvelnina:

1. DKIM dažniausiai išlieka

DKIM parašas (3.3 pamoka) yra pačiame laiške. Jei Jūsų serveris peradresuoja laišką nepakeistą, example.net parašas lieka teisingas. Tada DMARC sėkmingai praeina per DKIM, net jei SPF nepavyko. Štai kodėl DKIM yra toks svarbus: tai vienintelis dalykas, kuris išgyvena peradresavimą.

Tačiau viskas sugenda, jei peradresuojantis serveris pakeičia laišką: prideda tekstą apačioje ("peradresavo..."), pakeičia temą (prideda [SPAM] priekyje) arba konvertuoja formatavimą. Tada parašas nebegalioja.

2. SRS perrašo voko siuntėją

Naudojant SRS (Sender Rewriting Scheme), peradresuojantis serveris pakeičia voko siuntėją į adresą savo paties domene, pavyzdžiui:

SRS0=HHH=TT=example.net=klant@example.com

Dabar Gmail tikrina example.com SPF įrašą, o ten Jūsų serveris yra įtrauktas. SPF praeina sėkmingai. Jei gaunamas grąžintas laiškas (bounce), Jūsų serveris gali atkoduoti adresą ir išsiųsti grąžintą laišką tikrajam siuntėjui.

Atkreipkite dėmesį: SRS išsprendžia SPF problemą, bet ne DMARC. Suderinimas (alignment, 4.4 pamoka) lygina voko siuntėjo domeną su From adresu. Dabar tai example.com prieš example.net: nesuderinta. Taigi DMARC vis tiek turi sėkmingai praeiti per DKIM.

3. ARC: tarpininko patvirtinimas

ARC (Authenticated Received Chain, RFC 8617, eksperimentinis) leidžia tarpininkui užfiksuoti, ką jis matė: "kai šis laiškas pasiekė mane, SPF, DKIM ir DMARC buvo sėkmingi". Peradresuojantis serveris pasirašo šį patvirtinimą. Galutinis gavėjas gali nuspręsti pasitikėti šiuo patvirtinimu, jei jis pasitiki tarpininku. Dideli gavėjai, tokie kaip Gmail ir Microsoft, naudoja ARC, bet tuo negalima garantuotai pasikliauti: tai paslauga, o ne teisė.

O šlamštas?

Yra dar viena problema, ir ji dažnai yra didžiausia. Jūsų šlamšto filtras ne viską sulaiko. Visą šlamštą, kuris praeina, Jūsų serveris dabar peradresuoja į Gmail. Gmail požiūriu atrodo, kad Jūsų serveris siunčia šlamštą. Dėl to nukenčia Jūsų serverio reputacija (o dalijamojo serverio (shared hosting) atveju: visų to serverio klientų reputacija). Po to Gmail pradeda dažniau siųsti ir Jūsų tikrą paštą į šlamštą.

Kas geriau?

Norite skaityti savo darbinį paštą Gmail arba Outlook programėlėje? Tada pridėkite el. pašto dėžutę kaip IMAP paskyrą (2 modulis). Programėlė atsisiunčia paštą tiesiogiai iš Jūsų serverio. Niekas nėra peradresuojama, niekas nesugenda, ir joks šlamštas nesiunčiamas į išorę. Jei vis dėlto reikia peradresuoti, nustatykite griežtą šlamšto filtrą prieš peradresavimą.

Catch-all: kodėl beveik niekada

Catch-all perima visą paštą, siunčiamą neegzistuojantiems adresams. Rašybos klaida, pavyzdžiui, inof@example.com, tokiu atveju vis tiek pristatoma. Tai skamba patogiai, bet:

• Šlamštas. Šlamšto siuntėjai masiškai siunčia laiškus išgalvotais adresais esamuose domenuose (a.jansen@, sales2@, xkq7@). Tai vadinama žodyno ataka (dictionary attack). Be catch-all Jūsų serveris visa tai iš karto atmeta. Su catch-all viskas pristatoma, dažnai šimtai laiškų per dieną.
• Nebegaunamas klaidos pranešimas. Tas, kuris suklydo rašydamas Jūsų adresą, negauna grąžinto laiško (bounce) ir mano, kad jo laiškas pasiekė adresatą. Be catch-all jis iš karto sužino, kad adresas neteisingas.
• Peradresavimas situaciją tik pablogina. Catch-all, peradresuojantis į Gmail, siunčia visą tą šlamštą į Gmail.
• Backscatter. Serveris, kuris iš pradžių priima viską, o tik vėliau nustato, kad adresas neegzistuoja, siunčia grąžintą laišką (bounce) (suklastotam) siuntėjui. Tai vadinama backscatter: klaidos pranešimai nekaltiems žmonėms, ir priežastis patekti į blokavimo sąrašą.

Norite perimti kelis papildomus adresus, pavyzdžiui, dažnai daromą rašybos klaidą ar seną adresą? Tam sukurkite atskirus sinonimus ar peradresavimus. Naudojate atskirą adresą kiekvienai svetainei ar internetinei parduotuvei (webshop-x@), kad matytumėte, kas perparduoda Jūsų adresą? Tada sukurkite tą adresą kaip sinonimą tuo metu, kai jį pradedate naudoti.

Siuntimas iš sinonimo

Sinonimas taip pat gali būti siuntėjas. Pavyzdžiui, norite atsakyti kaip offerte@example.com, nors esate prisijungę kaip info@. Tai įmanoma, bet:

• Daugelis pašto serverių šiais laikais tikrina, kuris siuntėjo adresas priklauso kuriai prisijungimo paskyrai. Tada galite siųsti tik iš savo paties adreso bei sinonimų ar peradresavimų, nukreiptų į Jūsų el. pašto dėžutę. Bet koks kitas atsitiktinis adresas bus atmestas ("account can not send emails from ..."). Tai apsaugo nuo piktnaudžiavimo.
• Savo pašto programoje pridėkite sinonimą kaip papildomą tapatybę (Thunderbird: Tapatybių valdymas (Manage Identities); Apple Mail: papildomi adresai prie paskyros, atskirti kableliais; Outlook: rodyti Iš (From) lauką ir įvesti adresą).
• SPF, DKIM ir DMARC veikia įprastai, jei sinonimas priklauso tam pačiam domenui ir siunčiate per savo paties serverį.

Praktikoje: kaip tai atrodo valdymo skydelyje

DirectAdmin valdymo skydelyje peradresavimus kuriate skiltyje El. pašto valdymas, Peradresavimai. Catch-all yra skiltyje Išplėstinės funkcijos, Catch-All el. paštas; ten rekomenduojama nuostata yra "catch-all išjungti" (paštas neegzistuojantiems adresams atmetamas). Jei turite tik domeno vardą be paketo, peradresavimai yra Mano WebOké, skiltyje Mano domenai, Peradresavimai. Kiti valdymo skydeliai (cPanel, Plesk, Microsoft 365, Google Workspace) turi panašias dalis, kartais pavadintas "sinonimai", "peradresavimas" arba "grupės".

Santrauka

• Sinonimas arba peradresavimas tame pačiame serveryje yra saugus.
• Peradresavimas į išorę sugadina SPF. SRS atkuria SPF, bet ne DMARC suderinimą; tik nepažeistas DKIM parašas išgelbsti laišką, o ARC gali padėti.
• Peradresuotas šlamštas kenkia Jūsų serverio reputacijai. Geriau skaitykite išorinį paštą per IMAP programėlėje.
• Catch-all pritraukia šlamštą, paslepia rašybos klaidas ir gali sukelti backscatter. Naudokite atskirus sinonimus.
• Siuntimas iš sinonimo galimas, laikantis Jūsų serverio taisyklių.

Testas

Užduotis

Užduotis O3.3: Jūsų adresų sąrašas. Sudarykite visų adresų sąrašą savo domene: el. pašto dėžutės, sinonimai, peradresavimai, ir ar įjungtas catch-all. Prie kiekvieno peradresavimo pažymėkite, ar jis lieka Jūsų paties domeno viduje, ar siunčiamas į išorę (Gmail, Outlook.com, kita įmonė). Tada atsakykite: kurį peradresavimą į išorę galėtumėte pakeisti IMAP paskyra programėlėje, ir ar yra įjungtas catch-all, kurį galima išjungti? Užpildykite kontrolinį sąrašą.

Skaitykite daugiau

Šiuose straipsniuose nurodyti žingsniai galioja WebOké valdymo skydeliams; kitų paslaugų teikėjų atveju veikimo principas panašus.

• DirectAdmin vadovas 7.5: Peradresavimai: pašto persiuntimas į kitą adresą
• DirectAdmin vadovas 7.6: Catch-All el. paštas: laiškai neegzistuojantiems adresams
• El. laiškų persiuntimas į kitą adresą (persiuntimo adresai, catch-all nerekomenduojama)
• Laiškų siuntimas iš kelių pseudonimų (alias), klaida: Account xxx can not send emails from
• WebOké vadovas 5.9: E-pašto ir domenų peradresavimai
• Nemokamas DNS kursas 4.3: SPF: kas gali siųsti laiškus Jūsų domeno vardu?
• RFC 8617 (ARC), RFC 7208 D priedas (SPF ir tarpininkai, pavyzdžiui, peradresuotojai)