Aliasy, presmerovanie a doménový kôš: šikovné, ale rizikové

Modul 3: Správa poštovej schránky · Čas čítania: 11 minút

Cieľ lekcie: Po tejto lekcii dokážete vybrať medzi e-mailovou schránkou, aliasom, presmerovaním a doménovým košom a vysvetliť, prečo môže presmerovanie na externú adresu a doménový kôš poškodiť doručovanie vašej pošty.

Kľúčové pojmy: e-mailová schránka, alias, forwarder (presmerovanie), interné a externé presmerovanie, SPF sa pri presmerovaní poruší, SRS (Sender Rewriting Scheme), DKIM pri presmerovaní, ARC (RFC 8617), doménový kôš (catch-all), slovníkový útok, backscatter, odosielanie v mene inej adresy

Štyri spôsoby, ako nechať adresu fungovať

Ak chcete, aby offerte@example.com fungovala, máte štyri možnosti:

V niektorých paneloch je alias technicky totožný s presmerovaním na adresu na tom istom serveri. Rozdiel, na ktorom záleží, je tento: zostáva pošta na tom istom serveri, alebo ide von?

Presmerovanie v rámci vlastnej domény: žiadny problém

Ak presmerujete offerte@example.com na info@example.com a obe sú na tom istom serveri, server jednoducho doručí poštu do schránky info@. Nič nejde cez internet, nič sa znovu nekontroluje. Je to bezpečné a spoľahlivé.

Presmerovanie von: kde to zlyháva

Inak to je, keď presmerujete na adresu u iného poskytovateľa, napríklad súkromnú adresu na Gmail alebo Outlook.com. Vtedy váš server odošle poštu znovu, tentoraz na Gmail. A Gmail skontroluje poštu, akoby pochádzala z vášho servera.

Predstavte si: klant@example.net pošle e-mail na info@example.com. Váš server ho presmeruje na Gmail. Čo vidí Gmail?

• Odosielateľ (From): klant@example.net.
• Envelope odosielateľ: stále klant@example.net, pokiaľ ho váš server neprepíše.
• Odosielajúci server: váš server, napríklad 192.0.2.25.

Gmail sa pozrie do SPF záznamu domény example.net. Váš server tam samozrejme nie je uvedený. SPF zlyhá. Ak má example.net politiku DMARC p=reject a na pošte nie je platný DKIM podpis, Gmail poštu odmietne. Váš server dostane späť bounce a ten pôjde... na pôvodného odosielateľa, ktorý teraz dostane chybové hlásenie z vášho servera.

Existujú tri mechanizmy, ktoré to zmierňujú:

1. DKIM väčšinou prežije

DKIM podpis (lekcia 4.3) je súčasťou samotnej správy. Ak váš server presmeruje poštu nezmenenú, podpis domény example.net stále platí. DMARC potom uspeje na základe DKIM, aj keď SPF zlyhá. Preto je DKIM taký dôležitý: je to jediný mechanizmus, ktorý presmerovanie prežije.

Problém nastáva, keď presmerovávajúci server správu zmení: pridá text na konci ("presmerované od..."), upraví predmet (pridá pred neho [SPAM]) alebo zmení formátovanie. Vtedy podpis už nesedí.

2. SRS prepíše envelope odosielateľa

Pomocou SRS (Sender Rewriting Scheme) presmerovávajúci server zmení envelope odosielateľa na adresu vo vlastnej doméne, napríklad:

SRS0=HHH=TT=example.net=klant@example.com

Teraz sa Gmail pozrie do SPF záznamu domény example.com, kde je váš server uvedený. SPF uspeje. Ak príde bounce, váš server dokáže adresu spätne preložiť a bounce poslať skutočnému odosielateľovi.

Pozor: SRS vyrieši SPF, ale nie DMARC. Zarovnanie (lekcia 4.4) porovnáva doménu envelope odosielateľa s adresou From. Teraz je to example.com oproti example.net: nezarovnané. DMARC teda musí stále uspieť na základe DKIM.

3. ARC: vyhlásenie sprostredkovateľa

ARC (Authenticated Received Chain, RFC 8617, experimentálne) umožňuje sprostredkovateľovi zaznamenať, čo videl: "keď táto správa prišla ku mne, SPF, DKIM a DMARC uspeli". Presmerovávajúci server toto vyhlásenie podpíše. Konečný príjemca sa môže rozhodnúť tomuto vyhláseniu dôverovať, ak dôveruje sprostredkovateľovi. Veľkí príjemcovia ako Gmail a Microsoft ARC používajú, ale nemôžete sa na to spoliehať: je to láskavosť, nie nárok.

A čo spam?

Existuje ešte jeden problém, ktorý je často najväčší. Váš spamový filter nezachytí všetko. Všetok spam, ktorý ním prejde, váš server teraz presmeruje na Gmail. Gmailu to pripadá, akoby váš server rozosielal spam. Tým trpí reputácia vášho servera (a pri zdieľanom hostingu reputácia všetkých klientov na tomto serveri). Gmail potom zaraďuje aj vašu skutočnú poštu skôr do spamu.

Čo je lepšie?

Chcete čítať svoju firemnú poštu v aplikácii Gmail alebo Outlook? Pridajte schránku ako IMAP účet (modul 2). Aplikácia potom poštu získava priamo z vášho servera. Nič sa nepresmeruje, nič nezlyhá a žiadny spam neopustí váš server. Ak musíte predsa len presmerovať, nastavte prísny spamový filter pred samotným presmerovaním.

Doménový kôš: prečo takmer nikdy

Takzvaný doménový kôš (catch-all) zachytáva všetku poštu na neexistujúce adresy. Preklep ako inof@example.com potom aj tak dorazí. Znie to šikovne, ale:

• Spam. Spammeri hromadne posielajú poštu na vymyslené adresy existujúcich domén (a.jansen@, sales2@, xkq7@). Volá sa to slovníkový útok. Bez doménového koša to váš server okamžite odmietne. S doménovým košom všetko prejde, často stovky správ denne.
• Žiadne chybové hlásenie. Kto sa pomýli vo vašej adrese, nedostane bounce a bude si myslieť, že jeho pošta dorazila. Bez doménového koša to hneď vie.
• Presmerovanie to zhoršuje. Doménový kôš, ktorý presmeruje na Gmail, pošle na Gmail aj všetok ten spam.
• Backscatter. Server, ktorý najprv prijme všetko a až neskôr zistí, že adresa neexistuje, pošle bounce na (falošného) odosielateľa. Volá sa to backscatter: chybové hlásenia nevinným ľuďom a dôvod na zaradenie na blokovací zoznam.

Chcete zachytiť pár ďalších adries, napríklad bežný preklep alebo starú adresu? Vytvorte na to samostatné aliasy alebo presmerovania. Používate pre každý web alebo webshop vlastnú adresu (webshop-x@), aby ste videli, kto vašu adresu ďalej predáva? Vytvorte túto adresu ako alias v momente, keď ju začnete používať.

Odosielanie z aliasu

Alias môže byť aj odosielateľ. Chcete napríklad odpovedať ako offerte@example.com, hoci ste prihlásení ako info@. Dá sa to, ale:

• Mnohé mailové servery dnes kontrolujú, ktorá odosielajúca adresa patrí ku ktorému prihláseniu. Môžete teda odosielať iba z vlastnej adresy a z aliasov či presmerovaní, ktoré smerujú do vašej schránky. Ľubovoľná iná adresa bude odmietnutá ("account can not send emails from ..."). To chráni pred zneužitím.
• V mailovom programe pridáte alias ako ďalšiu identitu (Thunderbird: Spravovať identity; Apple Mail: ďalšie adresy pri účte, oddelené čiarkami; Outlook: zobraziť pole Od a adresu zadať ručne).
• SPF, DKIM a DMARC fungujú bežne, pokiaľ je alias na rovnakej doméne a odosielate cez vlastný server.

V praxi: ako to vyzerá v paneli

V DirectAdmin vytvárate presmerovania v časti Správca e-mailov, Presmerovania. Doménový kôš nájdete v časti Pokročilé funkcie, E-mailový doménový kôš; odporúčané nastavenie je "vypnúť doménový kôš" (pošta na neexistujúce adresy sa odmietne). Ak máte iba doménové meno bez balíka, presmerovania nájdete v Môj WebOké v časti Moje domény, Presmerovania. Iné panely (cPanel, Plesk, Microsoft 365, Google Workspace) majú podobné časti, niekedy pod názvami ako "aliasy", "presmerovanie" alebo "skupiny".

Zhrnutie

• Alias alebo presmerovanie v rámci toho istého servera je bezpečné.
• Presmerovanie von poruší SPF. SRS opraví SPF, ale nie zarovnanie DMARC; iba neporušený DKIM podpis zachráni poštu a ARC môže pomôcť.
• Presmerovaný spam poškodzuje reputáciu vášho servera. Externú poštu radšej čítajte cez IMAP v aplikácii.
• Doménový kôš priťahuje spam, zakrýva preklepy a môže spôsobiť backscatter. Používajte samostatné aliasy.
• Odosielanie z aliasu je možné, v rámci pravidiel vášho servera.

Kvíz

Úloha

Úloha O3.3: Inventúra vašich adries. Vytvorte zoznam všetkých adries vo vašej doméne: e-mailové schránky, aliasy, presmerovania a či je zapnutý doménový kôš. Pri každom presmerovaní uveďte, či zostáva v rámci vašej vlastnej domény, alebo ide von (Gmail, Outlook.com, iná firma). Potom odpovedzte: ktoré vonkajšie presmerovanie môžete nahradiť IMAP účtom v aplikácii a je zapnutý doménový kôš, ktorý by ste mohli vypnúť? Vyplňte kontrolný zoznam.

Ďalšie čítanie

Postupy v týchto článkoch platia pre panely WebOké; u iných poskytovateľov to funguje obdobne.

• Návod na DirectAdmin 7.5: Presmerovania: presmerovanie e-mailu na inú adresu
• Návod na DirectAdmin 7.6: E-mailový doménový kôš: pošta na neexistujúce adresy
• Presmerovanie e-mailu na inú adresu (presmerovania, catch-all sa neodporúča)
• Odosielanie e-mailov z viacerých aliasov, chyba: Account xxx can not send emails from
• Príručka WebOké 5.9: Presmerovania e-mailov a domén
• Bezplatný kurz DNS 4.3: SPF: kto smie posielať poštu v mene vašej domény?
• RFC 8617 (ARC), RFC 7208 príloha D (SPF a sprostredkovatelia, napríklad presmerovávatelia)