Checklist: vaša e-mailová pošta v poriadku

Modul 8: Presun a vaša doména v poriadku · Čas čítania: 13 minút

Cieľ lekcie: Po tejto lekcii dokážete pomocou pevnej checklisty skontrolovať e-mail vlastnej domény od začiatku do konca, vysvetliť výsledok a zostaviť akčný zoznam v správnom poradí.

Kľúčové pojmy: checklist, prijímanie (MX, mailový server, null MX), pripojenie (TLS, certifikát, porty 993/465/587), odosielanie (SPF, DKIM, DMARC), odosielajúci server (PTR, FCrDNS, blokovacie zoznamy), šifrované doručovanie (MTA-STS, TLS-RPT, DANE), poštové schránky a adresy, zabezpečenie, akčný zoznam, pravidelná údržba

Prečo pevné poradie?

V tomto kurze ste videli mnoho samostatných častí. V praxi navzájom súvisia: pravidlo DMARC nemá zmysel, ak je SPF neplatné, a pekný SPF záznam nepomôže, ak MX ukazuje na server, ktorý neexistuje. Preto prechádzate checklistom zdola nahor v reťazci: najprv či pošta môže prísť, potom či sa pripájate bezpečne, potom či je vaša odoslaná pošta dôveryhodná, a až potom jemnejšie doladenie.

Kurz DNS má v lekcii 8.5 checklist pre celú doménu (registrácia, nameservery, webová stránka). Tento checklist sa hlbšie venuje len e-mailu.

Pri každom bode je uvedené: čo kontrolujete, ako (pomocou nástroja alebo DNS dotazu) a kedy je to v poriadku. V záverečnej úlohe program vykoná rovnaké kontroly automaticky a porovná výsledok s tým, čo ste zistili vy.

Časť A: môže pošta prísť?

A1. MX záznamy. Vyžiadajte MX <doména>. V poriadku, ak existuje aspoň jeden MX a hostiteľ s najnižším číslom má A alebo AAAA záznam. MX smerujúci na meno bez adresy znamená, že pošta neprichádza.
Osobitný prípad: 0 . je null MX (RFC 7505). To znamená "táto doména neprijíma poštu". To je v poriadku pre doménu, ktorá nikdy neprijíma poštu, napríklad example.com, a nesprávne pre vašu firemnú doménu.

A2. Mailový server odpovedá. Prvý MX hostiteľ prijíma spojenia na porte 25. Doma to často nemôžete sami otestovať, pretože mnohí poskytovatelia internetu blokujú odchádzajúcu premávku na porte 25. Online nástroj alebo záverečná úloha to urobí za vás. V poriadku, ak server dá privítanie 220 a ponúkne STARTTLS.

A3. Testovací e-mail zvonku. Pošlite e-mail z adresy mimo vašej domény. Príde a nie do spamu?

Časť B: dokážete sa bezpečne pripojiť?

B1. IMAP na porte 993 s názvom servera, ktorý používate vo vašom poštovom programe. V poriadku, ak sa TLS spojenie podarí, certifikát je platný, obsahuje názov servera a certifikát nevyprší do 14 dní.

B2. SMTP na odosielanie: port 465 (priamy TLS) a/alebo 587 (STARTTLS). V poriadku, ak funguje aspoň jeden z nich s platným certifikátom pre názov servera a server ponúkne prihlásenie (AUTH) až po tom, čo je spojenie zašifrované.

Ak tu dostanete chybu, najprv skontrolujte, či používate názov servera vášho poskytovateľa a nie vlastný mail.<doména> bez certifikátu (lekcia 2.1 a chyba 9 v lekcii 8.3).

Časť C: je vaša odoslaná pošta dôveryhodná?

C1. SPF. Vyžiadajte TXT <doména>. V poriadku, ak:

• existuje presne jeden záznam s v=spf1;
• končí na ~all alebo -all (nikdy +all alebo ?all); pre začiatočníkov sa odporúča ~all, -all ak si ste istí, že všetci odosielatelia sú v zázname;
• rekurzívny počet vyhľadávaní (include, a, mx, ptr, exists, redirect, aj v rámci každého include) neprekročí 10, a najviac 2 vyhľadávania sa vrátia prázdne.

C2. DKIM. Pre každého odosielateľa (váš mailový server, Microsoft 365, vašu službu pre newslettery, váš e-shop) jeden selector. Nájdete ho v hlavičkách e-mailu od daného odosielateľa (s= a d= v DKIM-Signature, lekcia 1.5). Vyžiadajte TXT <selector>._domainkey.<doména> (prípadne cez CNAME). V poriadku, ak je tam neprázdne p=, s kľúčom 2048 bitov alebo viac pre RSA (alebo kľúč ed25519).

C3. DMARC. Vyžiadajte TXT _dmarc.<doména>. V poriadku, ak existuje presne jeden záznam s v=DMARC1, s platným p= (none, quarantine alebo reject) a adresou na reporty (rua=mailto:...). Odporúčaný postup: začnite s p=none a čítajte reporty; až keď sú všetci odosielatelia zarovnaní, prejdite na quarantine a potom reject (lekcia 4.4). p=none bez adresy na reporty je premárnená príležitosť: vtedy nič nevidíte.

C4. Zarovnanie v praxi. Pošlite e-mail od každého odosielateľa na vlastnú adresu Gmail alebo Outlook.com a prečítajte si Authentication-Results: dmarc=pass?

Časť D: odosielajúci server

D1. Reverzné DNS. V hlavičkách e-mailu, ktorý ste sami odoslali, nájdite IP adresu servera, ktorý odovzdal poštu von (posledný riadok Received, ktorý pochádza spoza vášho vlastného zariadenia, lekcia 1.5). Vyžiadajte PTR (dig -x <ip>). V poriadku, ak existuje meno a toto meno ukazuje späť na rovnakú IP adresu (FCrDNS, lekcia 5.1). Aj MX servery vašej domény by mali mať poriadny PTR.

D2. Blokovacie zoznamy. Skontrolujte danú odosielajúcu IP adresu (a IP adresu vášho MX) na známych blokovacích zoznamoch. V poriadku, ak nie je uvedená nikde. Ak je uvedená: najprv nájsť a odstrániť príčinu, až potom žiadať o odstránenie zo zoznamu (lekcia 5.2). Pri zdieľanom hostingu je to úloha pre vášho poskytovateľa: odovzdajte mu IP adresu a chybové hlásenie.

Časť E: doladenie (voliteľné)

E1. MTA-STS a TLS-RPT. TXT _mta-sts.<doména> a TXT _smtp._tls.<doména>. Nie je povinné. Ak máte MTA-STS, súbor s pravidlami musí byť dostupný na https://mta-sts.<doména>/.well-known/mta-sts.txt a musí súhlasiť s vašim MX (lekcia 5.4).

E2. DANE. Len ak sú vaša doména a MX podpísané pomocou DNSSEC: TLSA záznamy na _25._tcp.<mx-host>. Väčšinou toto za vás zariaďuje váš poskytovateľ pošty pre svoj vlastný MX.

Časť F: poštové schránky, adresy a zabezpečenie

Toto za vás nemôže skontrolovať žiadny program, ale patrí to k veci:

• F1. Žiadny catch-all; iba aliasy a presmerovania, ktoré používate vedome; žiadne presmerovanie do Gmailu alebo na iné externé adresy (lekcia 3.3).
• F2. Žiadna poštová schránka nad 80 % svojej kvóty (lekcia 3.2).
• F3. Všetci pracujú s IMAP, nie s POP3 na viacerých zariadeniach (lekcia 1.3).
• F4. Silné, jedinečné heslá v správcovi hesiel; žiadne staré zariadenia so starými heslami; žiadne neznáme pravidlá presmerovania v poštových schránkach (lekcia 3.4).
• F5. Formuláre na webovej stránke posielajú poštu cez SMTP s vašou vlastnou adresou ako From (lekcia 7.3); newslettery cez službu s vlastným DKIM (lekcia 7.1).

Od výsledku k akčnému zoznamu

Po kontrole máte zelené, oranžové a červené body. Vybavujte ich v tomto poradí:

1. Červené v časti A alebo B: pošta neprichádza alebo sa nedá bezpečne pripojiť. Vyriešiť ako prvé.
2. Červené v časti C: SPF neplatné (dva záznamy, viac ako desať vyhľadávaní), chýba DKIM pre niektorého odosielateľa, dva záznamy DMARC. Toto určuje, či vaša pošta príde.
3. Červené v časti D: chýba PTR alebo záznam na blokovacom zozname. Väčšinou úloha pre vášho poskytovateľa.
4. Oranžové: p=none bez reportov, ?all, kľúč s 1024 bitmi, certifikát, ktorý čoskoro vyprší.
5. Časť E a F: zlepšenia a údržba.

Potom si naplánujte údržbu: každý štvrťrok checklist zopakovať, a vždy po pripojení novej služby alebo po presťahovaní. Čítajte svoje DMARC reporty raz mesačne, alebo si nechajte od reportovacej služby posielať upozornenie, keď sa objaví nový zdroj.

V praxi: nástroje

Na kontroly môžete použiť rôzne nástroje. Vo WebOké sú to napríklad bezplatné nástroje E-mailcheck a Zdravie domény (aj pre domény, ktoré nie sú u WebOké); nezávislé nástroje ako e-mailový test na internet.nl a MXToolbox robia podobné kontroly. Žiadny nástroj nevidí úplne všetko: DKIM selector musíte takmer vždy zadať sami a odosielajúcu IP adresu nájdete vo vlastných hlavičkách.

Zhrnutie

• Kontrolujte v poradí reťazca: prijímanie, pripojenie, dôveryhodnosť, odosielajúci server, doladenie, správa.
• Prijímanie: MX s existujúcim hostiteľom, null MX len pre domény bez pošty.
• Pripojenie: platný certifikát na 993 a 465/587 pre názov servera, ktorý používate.
• Dôveryhodnosť: jeden SPF do desiatich vyhľadávaní s ~all/-all, DKIM pre každého odosielateľa, jeden DMARC s rua, a zarovnanie v praxi.
• Odosielajúci server: PTR s FCrDNS a žiadne blokovacie zoznamy. Zostavte akčný zoznam v poradí a opakujte kontrolu každý štvrťrok.

Kvíz

Úloha

Úloha Z8.4: Záverečná úloha: vaša vlastná doména. Zadajte svoju vlastnú doménu (ak žiadnu nemáte, použite ako príklad internet.nl), názov servera, ktorý používate vo svojom poštovom programe, DKIM selector(y), ktoré ste našli vo svojich hlavičkách, a IP adresu svojho odosielajúceho servera. Pri každom bode z časti A až E vyplňte, čo ste sami zistili. Program vykoná každú čiastkovú kontrolu sám a pri každom bode zobrazí zelenú, oranžovú alebo červenú farbu vedľa vašej odpovede, s odkazom na lekciu. Potom napíšte svoj akčný zoznam (maximálne päť bodov, v poradí).

Úloha O8.4: Skontrolovať časť F. Odpovedzte na päť otázok z časti F za vaše vlastné poštové schránky a zapíšte si, čo zmeníte.

Na ďalšie čítanie

Kroky v týchto článkoch platia pre panely WebOké; u iných poskytovateľov to funguje podobne.

• Príručka WebOké 5.17: Zdravie domény a e-mailu: kontrola a náprava
• Príručka WebOké 6.7: Karta Nastaviť e-mail (MX, SPF, DKIM, DMARC)
• Kontrolný zoznam Internet.nl
• Webová stránka alebo e-mail nefunguje po presune alebo zmene DNS: skontrolujte svoju doménu
• Bezplatný kurz DNS 8.5: Kontrolný zoznam pre vašu vlastnú doménu
• Internet.nl, otestujte si svoju poštu: https://internet.nl/test-mail/