Checklist: e-mailul dumneavoastră în ordine

Modulul 8: Mutarea și organizarea domeniului dvs. · Timp de citire: 13 minute

Obiectiv de învățare: După această lecție veți putea verifica, folosind o listă de control fixă, e-mailul propriului domeniu de la un capăt la altul, explica rezultatul și întocmi o listă de acțiuni în ordinea corectă.

Noțiuni de bază: listă de control, primire (MX, server de e-mail, null MX), conectare (TLS, certificat, porturile 993/465/587), trimitere (SPF, DKIM, DMARC), serverul de trimitere (PTR, FCrDNS, liste de blocare), livrare criptată (MTA-STS, TLS-RPT, DANE), căsuțe poștale și adrese, securitate, listă de acțiuni, întreținere periodică

De ce o ordine fixă?

Ați văzut în această cursă multe componente separate. În practică ele sunt legate între ele: o politică DMARC nu are rost dacă SPF este nevalid, iar o înregistrare SPF corectă nu ajută dacă MX indică spre un server care nu există. De aceea parcurgeți lista de control de jos în sus în lanț: mai întâi dacă e-mailul poate ajunge, apoi dacă vă conectați în siguranță, apoi dacă e-mailul trimis este de încredere, și abia după aceea rafinamentele.

Cursul de DNS are în lecția 8.5 o listă de control pentru întregul domeniu (înregistrare, servere de nume, site web). Această listă de control aprofundează doar partea de e-mail.

Pentru fiecare punct este indicat: ce verificați, cum (cu un instrument sau o interogare DNS) și când este corect. În exercițiul final, programul efectuează aceleași verificări automat și pune rezultatul alături de ceea ce ați constatat dumneavoastră.

Partea A: poate ajunge e-mailul?

A1. Înregistrările MX. Interogați MX <domeniu>. Este corect dacă există cel puțin un MX, iar gazda cu numărul cel mai mic are o înregistrare A sau AAAA. Un MX către un nume fără adresă înseamnă că e-mailul nu ajunge.
Caz special: 0 . este un null MX (RFC 7505). Acesta spune „acest domeniu nu primește e-mail”. Este corect pentru un domeniu care nu primește niciodată e-mail, cum ar fi example.com, și greșit pentru domeniul dumneavoastră de afaceri.

A2. Serverul de e-mail răspunde. Prima gazdă MX acceptă conexiuni pe portul 25. Acasă adesea nu puteți testa singur acest lucru, deoarece mulți furnizori de internet blochează traficul ieșit pe portul 25. Un instrument online sau exercițiul final face asta pentru dumneavoastră. Este corect dacă serverul oferă un salut 220 și oferă STARTTLS.

A3. E-mail de test din exterior. Trimiteți un e-mail de la o adresă din afara domeniului dumneavoastră. Ajunge, și nu în folderul de spam?

Partea B: vă puteți conecta în siguranță?

B1. IMAP pe portul 993 cu numele serverului pe care îl folosiți în programul dumneavoastră de e-mail. Este corect dacă conexiunea TLS reușește, certificatul este valid, numele serverului figurează în el și certificatul nu expiră în următoarele 14 zile.

B2. SMTP pentru trimitere: portul 465 (TLS direct) și/sau 587 (STARTTLS). Este corect dacă cel puțin unul dintre cele două funcționează cu un certificat valid pentru numele serverului, iar serverul oferă autentificarea (AUTH) abia după ce conexiunea este criptată.

Dacă primiți o eroare aici, verificați mai întâi dacă folosiți numele serverului furnizorului dumneavoastră și nu un propriu mail.<domeniu> fără certificat (lecția 2.1 și eroarea 9 din lecția 8.3).

Partea C: e-mailul dumneavoastră trimis este de încredere?

C1. SPF. Interogați TXT <domeniu>. Este corect dacă:

• există exact o singură înregistrare cu v=spf1;
• se termină cu ~all sau -all (niciodată +all sau ?all); pentru începători recomandarea este ~all, iar -all dacă sunteți sigur că toți expeditorii sunt incluși;
• numărătoarea recursivă a interogărilor (include, a, mx, ptr, exists, redirect, inclusiv în fiecare include) nu depășește 10, iar cel mult 2 interogări revin goale.

C2. DKIM. Câte un selector pentru fiecare expeditor (serverul dumneavoastră de e-mail, Microsoft 365, serviciul dumneavoastră de newsletter, magazinul dumneavoastră online). Îl găsiți în antetele unui e-mail de la acel expeditor (s= și d= în DKIM-Signature, lecția 1.5). Interogați TXT <selector>._domainkey.<domeniu> (eventual printr-un CNAME). Este corect dacă există un p= nevid, cu o cheie de 2048 de biți sau mai mult pentru RSA (sau o cheie ed25519).

C3. DMARC. Interogați TXT _dmarc.<domeniu>. Este corect dacă există exact o singură înregistrare cu v=DMARC1, cu un p= valid (none, quarantine sau reject) și o adresă de raportare (rua=mailto:...). Linia de recomandare: începeți cu p=none și citiți rapoartele; abia după ce toți expeditorii sunt aliniați, treceți la quarantine și apoi la reject (lecția 4.4). p=none fără adresă de raportare este o ocazie ratată: atunci nu vedeți nimic.

C4. Alinierea în practică. Trimiteți un e-mail de la fiecare expeditor către o adresă proprie Gmail sau Outlook.com și citiți Authentication-Results: dmarc=pass?

Partea D: serverul de trimitere

D1. Reverse DNS. Căutați în antetele unui e-mail trimis de dumneavoastră adresa IP a serverului care a predat e-mailul către lumea exterioară (ultima linie Received care provine din afara propriului dumneavoastră dispozitiv, lecția 1.5). Interogați PTR (dig -x <ip>). Este corect dacă există un nume, iar acel nume indică înapoi către același IP (FCrDNS, lecția 5.1). Și serverele MX ale domeniului dumneavoastră trebuie să aibă un PTR corect.

D2. Liste de blocare. Verificați acel IP de trimitere (și IP-ul MX-ului dumneavoastră) pe listele de blocare cunoscute. Este corect dacă nu apare nicăieri. Dacă apare: mai întâi găsiți și rezolvați cauza, apoi solicitați eliminarea din listă (lecția 5.2). La găzduirea partajată, aceasta este o sarcină a furnizorului dumneavoastră: comunicați-i IP-ul și mesajul de eroare.

Partea E: rafinamente (opțional)

E1. MTA-STS și TLS-RPT. TXT _mta-sts.<domeniu> și TXT _smtp._tls.<domeniu>. Nu este obligatoriu. Dacă aveți MTA-STS, fișierul de politică de la https://mta-sts.<domeniu>/.well-known/mta-sts.txt trebuie să fie accesibil și să corespundă cu MX-ul dumneavoastră (lecția 5.4).

E2. DANE. Doar dacă domeniul dumneavoastră și MX-ul sunt semnate cu DNSSEC: înregistrări TLSA la _25._tcp.<gazdă-mx>. De obicei furnizorul dumneavoastră de e-mail se ocupă de acest lucru pentru propriul MX.

Partea F: căsuțe poștale, adrese și securitate

Acest lucru nu poate fi verificat de un program pentru dumneavoastră, dar face parte din listă:

• F1. Fără catch-all; doar alias-uri și redirecționări pe care le folosiți conștient; fără redirecționare către Gmail sau alte adrese externe (lecția 3.3).
• F2. Nicio căsuță poștală peste 80% din cota alocată (lecția 3.2).
• F3. Toată lumea lucrează cu IMAP, nu POP3 pe mai multe dispozitive (lecția 1.3).
• F4. Parole puternice, unice, într-un manager de parole; fără dispozitive vechi cu parole vechi; fără reguli de redirecționare necunoscute în căsuțele poștale (lecția 3.4).
• F5. Formularele de pe site trimit prin SMTP cu propria dumneavoastră adresă ca From (lecția 7.3); newsletterele printr-un serviciu cu propriul DKIM (lecția 7.1).

De la rezultat la listă de acțiuni

După verificare aveți puncte verzi, portocalii și roșii. Rezolvați-le în această ordine:

1. Roșu în partea A sau B: e-mailul nu ajunge sau nu vă puteți conecta în siguranță. Rezolvați mai întâi aceasta.
2. Roșu în partea C: SPF nevalid (două înregistrări, mai mult de zece interogări), DKIM lipsește pentru un expeditor, două înregistrări DMARC. Acest lucru determină dacă e-mailul dumneavoastră ajunge.
3. Roșu în partea D: niciun PTR sau o înregistrare pe o listă de blocare. De obicei o sarcină a furnizorului dumneavoastră.
4. Portocaliu: p=none fără rapoarte, ?all, o cheie de 1024 de biți, un certificat care expiră în curând.
5. Partea E și F: îmbunătățiri și întreținere.

Planificați apoi întreținerea: reluați lista de control în fiecare trimestru, și întotdeauna după conectarea unui serviciu nou sau o mutare. Citiți lunar rapoartele dumneavoastră DMARC, sau lăsați un serviciu de raportare să vă avertizeze dacă apare o sursă nouă.

În practică: instrumente

Pentru verificări puteți folosi diverse instrumente. La WebOké acestea sunt, de exemplu, serviciile gratuite E-mailcheck și Domein gezondheid (Sănătatea domeniului, inclusiv pentru domenii care nu sunt găzduite la WebOké); instrumente independente precum testul de e-mail de pe internet.nl și MXToolbox efectuează verificări similare. Niciun instrument nu vede totul: un selector DKIM trebuie aproape întotdeauna indicat de dumneavoastră, iar IP-ul de trimitere îl preluați din propriile dumneavoastră antete.

Rezumat

• Verificați în ordinea lanțului: primire, conectare, încredere, serverul de trimitere, rafinamente, administrare.
• Primire: MX cu gazdă existentă, null MX doar pentru domenii fără e-mail.
• Conectare: certificat valid pe 993 și 465/587 pentru numele serverului pe care îl folosiți.
• Încredere: un singur SPF în limita a zece interogări cu ~all/-all, DKIM pentru fiecare expeditor, un singur DMARC cu rua, și aliniere în practică.
• Server de trimitere: PTR cu FCrDNS și fără liste de blocare. Întocmiți o listă de acțiuni în ordine și repetați verificarea în fiecare trimestru.

Quiz

Exercițiu

Exercițiul Z8.4: Examen final: propriul dumneavoastră domeniu. Introduceți propriul dumneavoastră domeniu (dacă nu aveți unul, folosiți internet.nl ca exemplu), numele serverului pe care îl folosiți în programul dumneavoastră de e-mail, selectorul (selectoarele) DKIM pe care le-ați găsit în antetele dumneavoastră și adresa IP a serverului dumneavoastră de trimitere. Completați pentru fiecare punct din partea A până la E ceea ce ați constatat dumneavoastră. Programul efectuează el însuși fiecare verificare parțială și afișează verde, portocaliu sau roșu lângă răspunsul dumneavoastră, cu un link către lecție. Apoi scrieți lista dumneavoastră de acțiuni (maximum cinci puncte, în ordine).

Exercițiul O8.4: Verificarea secțiunii F. Răspundeți la cele cinci întrebări din partea F pentru propriile dumneavoastră căsuțe poștale și notați ce urmează să schimbați.

Pentru aprofundare

Pașii din aceste articole sunt valabili pentru panourile WebOké; la alți furnizori funcționează similar.

• Manual WebOké 5.17: Starea domeniului și a e-mailului: verificare și remediere
• Manual WebOké 6.7: Caseta Configurați e-mailul (MX, SPF, DKIM, DMARC)
• Lista de verificare Internet.nl
• Site-ul web sau e-mailul nu funcționează după o mutare sau o modificare DNS: verificați-vă domeniul
• Curs gratuit de DNS 8.5: Listă de verificare pentru propriul dumneavoastră domeniu
• Internet.nl, testați-vă e-mailul: https://internet.nl/test-mail/