Kontrollnimekiri: sinu e-post korras

Moodul 8: Kolimine ja domeeni korrashoid · Lugemisaeg: 13 minutit

Õpieesmärk: Pärast seda tundi oskad kindla kontrollnimekirja abil oma domeeni e-posti algusest lõpuni üle vaadata, tulemust selgitada ja koostada õiges järjekorras tegevuste nimekirja.

Põhimõisted: kontrollnimekiri, vastuvõtmine (MX, meiliserver, null MX), ühendumine (TLS, sertifikaat, pordid 993/465/587), saatmine (SPF, DKIM, DMARC), saatjaserver (PTR, FCrDNS, blokeerimisloendid), krüpteeritud kohaletoimetamine (MTA-STS, TLS-RPT, DANE), postkastid ja aadressid, turvalisus, tegevuste nimekiri, perioodiline hooldus

Miks kindel järjekord?

Oled selles kursuses näinud palju üksikuid osi. Praktikas on need omavahel seotud: DMARC-reeglil pole mõtet, kui SPF on kehtetu, ja ilus SPF-kirje ei aita, kui MX viitab serverile, mida pole olemas. Seepärast käid kontrollnimekirja läbi ahela alt üles: kõigepealt, kas kiri saab üldse kohale jõuda, siis kas ühendud turvaliselt, seejärel kas sinu saadetud kirju saab usaldada, ja alles pärast seda täpsustused.

DNS-kursuse tunnis 8.5 on kontrollnimekiri kogu domeeni kohta (registreerimine, nimeserverid, veebisait). See kontrollnimekiri keskendub ainult e-postile.

Iga punkti juures on kirjas: mida kontrollid, kuidas (tööriista või DNS-päringuga) ja millal on tulemus hea. Lõpuülesandes teeb programm samad kontrollid automaatselt ja seab tulemuse kõrvuti sellega, mida sina leidsid.

Osa A: kas kiri saab kohale jõuda?

A1. MX-kirjed. Päri MX <domeen>. Hea, kui MX-e on vähemalt üks ja madalaima numbriga host omab A- või AAAA-kirjet. MX, mis viitab nimele ilma aadressita, tähendab, et kiri ei jõua kohale.
Erijuhtum: 0 . on null MX (RFC 7505). See tähendab: "see domeen ei võta kirju vastu". See on hea domeeni jaoks, mis kunagi kirju vastu ei võta, nagu example.com, ja vale sinu äridomeeni jaoks.

A2. Meiliserver vastab. Esimene MX-host võtab ühendusi vastu pordil 25. Kodus ei saa seda tihti ise testida, kuna paljud internetiteenuse pakkujad blokeerivad väljuva liikluse pordil 25. Veebipõhine tööriist või lõpuülesanne teeb selle sinu eest. Hea, kui server annab 220 tervituse ja pakub STARTTLS.

A3. Testkiri väljastpoolt. Saada kiri aadressilt, mis pole sinu domeenil. Kas see jõuab kohale ja mitte rämpspostikausta?

Osa B: kas saad turvaliselt ühenduda?

B1. IMAP pordil 993 serverinimega, mida kasutad oma meiliprogrammis. Hea, kui TLS-ühendus õnnestub, sertifikaat on kehtiv, serverinimi on selles kirjas ja sertifikaat ei aegu 14 päeva jooksul.

B2. SMTP saatmiseks: port 465 (otsene TLS) ja/või 587 (STARTTLS). Hea, kui vähemalt üks neist töötab kehtiva sertifikaadiga serverinime jaoks ja server pakub sisselogimist (AUTH) alles pärast ühenduse krüpteerimist.

Kui saad siin vea, kontrolli kõigepealt, kas kasutad oma teenusepakkuja serverinime ja mitte oma mail.<domeen>-nime ilma sertifikaadita (tund 2.1 ja viga 9 tunnis 8.3).

Osa C: kas sinu saadetud kirju saab usaldada?

C1. SPF. Päri TXT <domeen>. Hea, kui:

• on täpselt üks kirje väärtusega v=spf1;
• see lõpeb ~all või -all väärtusega (mitte kunagi +all ega ?all); algajatele soovitatakse ~all, -all siis, kui oled kindel, et kõik saatjad on kirjas;
• päringute rekursiivne arv (include, a, mx, ptr, exists, redirect, ka iga include'i sees) ei ületa 10, ja mitte rohkem kui 2 päringut tuleb tagasi tühjana.

C2. DKIM. Iga saatja jaoks (sinu meiliserver, Microsoft 365, uudiskirjateenus, veebipood) üks selektor. Leiad selle saatja kirja päistest (s= ja d= väärtus DKIM-Signature päises, tund 1.5). Päri TXT <selektor>._domainkey.<domeen> (vajadusel CNAME kaudu). Hea, kui seal on mittetühi p=, võtmega vähemalt 2048 bitti RSA jaoks (või ed25519 võti).

C3. DMARC. Päri TXT _dmarc.<domeen>. Hea, kui on täpselt üks kirje väärtusega v=DMARC1, kehtiva p=-ga (none, quarantine või reject) ja aruandeaadressiga (rua=mailto:...). Soovituslik tee: alusta väärtusega p=none ja loe aruandeid; alles kui kõik saatjad on joondatud, liigu edasi väärtusele quarantine ja seejärel reject (tund 4.4). p=none ilma aruandeaadressita on kasutamata võimalus: siis ei näe sa midagi.

C4. Joondus praktikas. Saada kiri igalt saatjalt oma Gmaili või Outlook.com-i aadressile ja loe Authentication-Results: kas dmarc=pass?

Osa D: saatjaserver

D1. Pöördfiltreerimine (reverse DNS). Otsi oma saadetud kirja päistest selle serveri IP-aadress, mis andis kirja edasi välismaailma (kõige alumine Received-rida, mis ei tule sinu enda seadmest, tund 1.5). Päri PTR (dig -x <ip>). Hea, kui nimi on olemas ja see nimi viitab tagasi samale IP-le (FCrDNS, tund 5.1). Ka sinu domeeni MX-serveritel peaks olema korralik PTR.

D2. Blokeerimisloendid. Lase kontrollida seda saatja-IP-d (ja MX-i IP-d) tuntud blokeerimisloendite vastu. Hea, kui seda ei leidu kuskil. Kui leidub: esmalt leia ja lahenda põhjus, alles siis eemalda loendist (tund 5.2). Jagatud majutuse puhul on see sinu teenusepakkuja ülesanne: anna talle IP ja veateade.

Osa E: täpsustused (valikuline)

E1. MTA-STS ja TLS-RPT. TXT _mta-sts.<domeen> ja TXT _smtp._tls.<domeen>. Pole kohustuslik. Kui sul on MTA-STS, peab reeglifail aadressil https://mta-sts.<domeen>/.well-known/mta-sts.txt olema kättesaadav ja vastama sinu MX-ile (tund 5.4).

E2. DANE. Ainult kui sinu domeen ja MX on DNSSEC-iga allkirjastatud: TLSA-kirjed aadressil _25._tcp.<mx-host>. Tavaliselt korraldab seda sinu meiliteenuse pakkuja oma MX-i jaoks.

Osa F: postkastid, aadressid ja turvalisus

Seda ei saa ükski programm sinu eest kontrollida, kuid see kuulub siiski juurde:

• F1. Catch-all puudub; ainult teadlikult kasutatavad aliased ja suunamised; mitte suunata Gmailile ega muudele välistele aadressidele (tund 3.3).
• F2. Ükski postkast pole üle 80% oma mahupiirist (tund 3.2).
• F3. Kõik kasutavad mitmel seadmel IMAP-i, mitte POP3-te (tund 1.3).
• F4. Tugevad, unikaalsed paroolid parooliga haldusvahendis; ei ole vanu seadmeid vanade paroolidega; postkastides pole tundmatuid suunamisreegleid (tund 3.4).
• F5. Veebisaidi vormid saadavad kirju SMTP kaudu sinu enda aadressiga väljana From (tund 7.3); uudiskirjad omaenda DKIM-iga teenuse kaudu (tund 7.1).

Tulemusest tegevuste nimekirjani

Pärast kontrolli on sul rohelised, oranžid ja punased punktid. Tegele nendega selles järjekorras:

1. Punane osas A või B: kiri ei jõua kohale või ei saa turvaliselt ühenduda. Lahenda esmalt see.
2. Punane osas C: SPF kehtetu (kaks kirjet, üle kümne päringu), DKIM puudub ühel saatjal, kaks DMARC-kirjet. See määrab, kas sinu kiri jõuab kohale.
3. Punane osas D: PTR puudub või on blokeerimisloendi kirje. Tavaliselt sinu teenusepakkuja ülesanne.
4. Oranž: p=none ilma aruanneteta, ?all, 1024-bitine võti, sertifikaat, mis peagi aegub.
5. Osa E ja F: parendused ja hooldus.

Planeeri seejärel hooldus: iga kvartal korda kontrollnimekirja, ja alati pärast uue teenuse sidumist või kolimist. Loe iga kuu oma DMARC-aruandeid, või lase aruandeteenusel sulle teada anda, kui ilmneb uus allikas.

Praktikas: tööriistad

Kontrollideks saad kasutada erinevaid tööriistu. WebOké puhul on need näiteks tasuta E-mailicheck ja Domeeni tervis (ka domeenide jaoks, mis ei asu WebOké juures); sõltumatud tööriistad nagu internet.nl e-posti test ja MXToolbox teevad sarnaseid kontrolle. Ükski tööriist ei näe kõike: DKIM-selektori pead peaaegu alati ise sisestama ja saatja-IP leiad oma päistest.

Kokkuvõte

• Kontrolli ahela järjekorras: kohalejõudmine, ühendumine, usaldusväärsus, saatjaserver, täpsustused, haldus.
• Kohalejõudmine: MX olemasoleva hostiga, null MX ainult domeenidele ilma meilita.
• Ühendumine: kehtiv sertifikaat portidel 993 ja 465/587 serverinime jaoks, mida kasutad.
• Usaldusväärsus: üks SPF alla kümne päringu väärtusega ~all/-all, DKIM iga saatja jaoks, üks DMARC koos rua-ga ja joondus praktikas.
• Saatjaserver: PTR koos FCrDNS-ga ja ei ole blokeerimisloendites. Koosta tegevuste nimekiri järjekorras ja korda kontrolli iga kvartal.

Test

Ülesanne

Ülesanne Z8.4: Lõppülesanne: sinu enda domeen. Sisesta oma domeen (kui sul seda pole, kasuta näitena internet.nl), serverinimi, mida kasutad oma meiliprogrammis, DKIM-selektor(id), mille leidsid oma päistest, ja oma saatjaserveri IP-aadress. Täida iga punkti kohta osadest A kuni E, mida ise leidsid. Programm teeb iga osakontrolli ise ja paneb iga punkti kõrvale rohelise, oranži või punase märgi koos lingiga tunnile. Seejärel kirjuta oma tegevuste nimekiri (kuni viis punkti, järjekorras).

Ülesanne O8.4: Osa F ülevaatamine. Vasta osa F viiele küsimusele oma postkastide kohta ja kirjuta üles, mida kavatsed muuta.

Lisalugemist

Nende artiklite sammud kehtivad WebOké paneelide kohta; teiste teenusepakkujate puhul töötab see sarnaselt.

• WebOké juhend 5.17: Domeeni ja e-posti tervis: kontrollimine ja parandamine
• WebOké juhend 6.7: Kaart E-posti seadistamine (MX, SPF, DKIM, DMARC)
• Internet.nl kontrollnimekiri: saavuta oma veebilehe ja e-postiga 100%
• Veebileht või e-post ei tööta pärast kolimist või DNS-muudatust: kontrolli oma domeeni
• Tasuta DNS-kursus 8.5: Kontrollnimekiri oma domeeni jaoks
• Internet.nl, testi oma e-posti: https://internet.nl/test-mail/