Uudiskirja- ja saatmisteenused

Moodul 7: Väliste teenuste sidumine · Lugemisaeg: 8 minutit

Õpieesmärk: Pärast seda tundi oskad uudiskirja- või saatmisteenust siduda nii, et su kiri ei satu rämpsposti.

Põhimõisted: domeeni kinnitamine (autentimine), DKIM CNAME kaudu, selector, SPF include ainult kui teenus seda nõuab, 10 päringu piirang, DMARC-i vastavus DKIM-i kaudu, MX-kirjeid mitte puutuda

Miks uudiskirjateenus kirjeid küsib

Uudiskirjateenus nagu Mailchimp, Brevo või MailerLite, või arvete ja kinnituste saatmise teenus, saadab kirju sinu aadressilt saatjana, näiteks nieuws@example.com. Kiri tuleb aga selle teenuse serveritest, mitte sinu meiliserverist.

Vastuvõtjad nagu Gmail ja Outlook.com kontrollivad siis: kas see server tohib saata kirju domeeni example.com nimel, ja kas allkiri on õige (tund 4.3 kuni 4.5)? Kui see pole korraldatud, satub su uudiskiri rämpsposti, või kirjutab teenus su saatja aadressi ümber oma aadressiks. Seetõttu palub teenus sul oma domeen autentida: lisada mõni kirje oma DNS-is.

Mida teenus ei vaja: su MX-kirjeid. Need määravad, kuhu läheb sinu sissetulev kiri. Uudiskirja ainult saadetakse; vastused jõuavad lihtsalt sinu enda postkasti. Ära seega kunagi muuda MX-kirjeid uudiskirjateenuse jaoks.

DKIM CNAME kaudu

Enamik teenuseid laseb sul DKIM-i seadistada CNAME-kirjetega. Teenus haldab võtit ise; sina ainult viitad sellele. Nii saab teenus võtit vahetada ilma, et sina peaksid midagi tegema.

Mailchimp kasutab selle kirjutamise hetkel uuemate kontode puhul kahte kirjet:

k2._domainkey.example.com.   3600   IN   CNAME   dkim2.mcsv.net.
k3._domainkey.example.com.   3600   IN   CNAME   dkim3.mcsv.net.

Vanematel kontodel on sageli üks kirje k1._domainkey, mis viitab väärtusele dkim.mcsv.net. Teised teenused kasutavad teistsuguseid selectoreid, näiteks brevo1._domainkey või ml._domainkey. Kasuta täpselt seda, mida sinu teenuse juhtpaneel näitab. Nimed ja sihtmärgid erinevad teenuseti ja kontoti, ning need muutuvad vahel.

k2 ja k3 on selectorid (tund 4.4). Igal teenusel on oma selector, nii et kirjed ei sega üksteist ega sinu enda meiliserveri DKIM-võtit.

Kolm viga, mida peaaegu kõik kunagi teevad

1. Kahekordne domeeninimi. Su paneel lisab sageli domeeninime ise nime järele. Kui sisestad k2._domainkey.example.com, saad tulemuseks k2._domainkey.example.com.example.com. Sisesta ainult k2._domainkey, välja arvatud juhul, kui paneel palub sõnaselgelt täisnime. Välja all on tavaliselt kirjas, milliseks nimi kujuneb.
2. Punkti unustamine väärtuse lõpus. Ilma punktita võib su paneel teha väärtusest dkim2.mcsv.net hoopis dkim2.mcsv.net.example.com. Mõned paneelid lisavad punkti ise; kontrolli pärast salvestamist, milline kirje välja näeb (tund 2.2).
3. TXT CNAME-i asemel. Kui teenus palub CNAME-i, loo CNAME. TXT-kirje tekstiga dkim2.mcsv.net ei tee midagi.

SPF: ainult kui teenus seda küsib

SPF-i puhul arvavad paljud: iga teenus, mis saadab kirju, peab olema minu SPF-kirjes. See ei ole alati nii.

SPF kontrollib kirja ümbrikus olevat aadressi (Return-Path), mitte nähtavat saatja aadressi. Paljud uudiskirjateenused, sealhulgas Mailchimp, kasutavad ümbrikus oma domeeni. Nende SPF-kontroll käib seega nende enda domeeni kaudu, ning sinu SPF-kirje ei mängi mingit rolli. Seetõttu ei küsi Mailchimp include'i sinu SPF-kirjesse.

Teised teenused kasutavad ümbrikus aga aadressi sinu domeenil, või lasevad sul seadistada oma alamdomeeni (näiteks bounce.example.com). Need küsivad include:-i sinu SPF-kirjesse, või SPF-kirjet sellel alamdomeenil. Tee seega täpselt seda, mida teenus palub:

• kui teenus küsib include'i, lisa see oma olemasolevasse SPF-kirjesse, mitte kunagi teise kirjesse (tund 4.3);
• kui teenus seda ei küsi, ära lisa midagi.

Miks olla säästlik? SPF-kirje tohib kontrolli käigus põhjustada maksimaalselt 10 DNS-päringut. Iga include, a, mx, exists ja redirect loetakse kaasa, ning teenuse include'id sisaldavad sageli ise ka omakorda include'e. Kui sul on veebimajutaja, Microsoft 365, uudiskirjateenus, raamatupidamistarkvara ja CRM, jõuad kergesti üle piiri. Siis muutub kogu su SPF-kirje kehtetuks (permerror). Eemalda include'id teenustelt, mida enam ei kasuta, või mis seda ei küsi.

DMARC: siin on asja tuum

DMARC (tund 4.5) kiidab kirja heaks, kui SPF või DKIM õnnestub ja see vastab saatja aadressi domeenile (vastavus, alignment). Uudiskirjateenuse puhul, mis kasutab ümbrikus oma domeeni, ei saa SPF kunagi domeeniga example.com vastavusse jõuda. DMARC saab siis õnnestuda ainult DKIM-i kaudu: allkirjaga, kus on d=example.com, ning selle saad ainult siis, kui oled lisanud CNAME-kirjed.

Seetõttu:

1. lisa esmalt teenuse DKIM-kirjed;
2. oota, kuni teenus teatab, et su domeen on autenditud;
3. saada endale testkiri ja vaata päistest, kas DKIM on pass koos d=example.com;
4. alles seejärel muuda oma DMARC-poliitika none-ilt quarantine-iks või reject-iks.

Kui sul pole veel DMARC-kirjet, paluvad paljud teenused selle luua. Alusta väärtusest p=none (tund 4.5). Suured vastuvõtjad nagu Gmail ja Yahoo nõuavad alates 2024. aastast, et massisaatjatel oleks DMARC-kirje.

Vastused ja tagastuskirjad

Kui lugeja vastab su uudiskirjale, läheb see vastuseaadressile, mille sa teenuses seadistad, ja sinu MX-i kaudu su enda postkasti. Kohale toimetamata kirjad (bounces) lähevad ümbrikuaadressile ja seega teenusesse, kes need töötleb. Ka selleks ei pea sa oma MX-kirjetega midagi tegema.

Praktikas: nii näeb see paneelis välja

Näitepaneelis DirectAdmin ava DNS Beheer, klõpsa Record toevoegen, vali CNAME, sisesta väljale Naam ainult k2._domainkey ja väljale Waarde dkim2.mcsv.net. koos punktiga. Seejärel tee sama ka k3 jaoks. Minu WebOké puhul toimub see DNS-vahelehel samamoodi; aken näitab nimevälja all täisnime ja hoiatab, kui punkt puudub.

Teistes paneelides, nagu cPanel, Plesk, Cloudflare või sinu registripidaja DNS-vaates, kannavad nupud teisi nimesid, aga tegu on samade väljadega. Jälgi Cloudflare puhul proxy't: sea DKIM-i kirjed olekusse "DNS only" (Cloudflare teeb seda CNAME-kirjetega, kus on _domainkey, tavaliselt juba ise).

Kokkuvõte

• Uudiskirjateenus ei vaja su MX-kirjeid; jäta need alles.
• DKIM käib enamasti CNAME-kirjete kaudu, kus on oma selector. Kasuta täpselt seda, mida su juhtpaneel näitab.
• Sisesta ainult nime esimene osa ja pööra tähelepanu punktile väärtuse lõpus.
• Lisa SPF include ainult siis, kui teenus seda küsib, oma olemasolevasse kirjesse, ning jää alla 10 päringu.
• DMARC õnnestub selliste teenuste puhul DKIM-i vastavuse kaudu; karmista oma poliitikat alles siis, kui DKIM töötab.

Test

Ülesanne

Ülesanne Z7.4: Uudiskirjateenuse ära tundmine. Vaata, kuidas üks uudiskirjateenus ise oma DKIM-i korraldab.

1. Leia CNAME-kirje domeenidele k2._domainkey.mailchimp.com ja k3._domainkey.mailchimp.com. Kirjuta üles sihtnimed.
2. Leia SPF-kirje domeenile mailchimp.com ja loe, mitu include:-osa seal on.

Kontroll küsib kirjed esitamisel otse ja värskelt üle.

Ülesanne O7.4: Ise seadistamine oma harjutustsoonis. Seo imiteeritud uudiskirjateenus oma harjutustsooniga <code>.dnspractice.eu. Harjutustsoonis kasuta valeteenust newsletter-demo.dnspractice.eu; oma pärisdomeeni puhul võta väärtused üle oma uudiskirjateenuse juhtpaneelist.

1. Loo CNAME k2._domainkey.<code>.dnspractice.eu, mis viitab väärtusele dkim2.newsletter-demo.dnspractice.eu. Pööra tähelepanu nimele: ära lisa tsooni topelt.
2. Loo CNAME k3._domainkey.<code>.dnspractice.eu, mis viitab väärtusele dkim3.newsletter-demo.dnspractice.eu.
3. Veendu, et tsoonis <code>.dnspractice.eu on täpselt üks SPF-kirje, mis algab väärtusega v=spf1 ja lõpeb väärtusega ~all või -all. Ära lisa selle teenuse jaoks mingit include'i.
4. Jäta tsoonis <code>.dnspractice.eu alles oma MX-kirjed: see teenus ei vaja neid.

Rohkem lugemist

Need leheküljed kirjeldavad samme WebOké paneelides (DirectAdmin ja Minu WebOké). Teistes paneelides toimib see samamoodi.

• DNS-kirjete haldamine Minu WebOké's (koos näidetega CNAME, TXT ja väliste teenuste kohta)
• DirectAdmin juhend 5.4: CNAME-kirjed ja lõpu punkt
• DirectAdmin juhend 5.8: DKIM sisselülitamine ja kontrollimine
• DirectAdmin juhend 5.7: SPF seadistamine ja täiendamine
• Mis see on DMARC? Selgitus lihtsas keeles