Kontrolsaraksts: Jūsu e-pasts sakārtots

8. modulis: Pārcelšanās un Jūsu domēna sakārtošana · Lasīšanas laiks: 13 minūtes

Mērķis: Pēc šīs nodarbības Jūs varēsiet ar fiksētu kontrolsarakstu pārbaudīt sava domēna e-pastu no sākuma līdz galam, izskaidrot rezultātu un izveidot darbību sarakstu pareizajā secībā.

Pamatjēdzieni: kontrolsaraksts, saņemšana (MX, pasta serveris, null MX), savienojums (TLS, sertifikāts, porti 993/465/587), nosūtīšana (SPF, DKIM, DMARC), nosūtīšanas serveris (PTR, FCrDNS, bloķēšanas saraksti), šifrēta nogādāšana (MTA-STS, TLS-RPT, DANE), pastkastes un adreses, drošība, darbību saraksts, periodiska uzturēšana

Kāpēc fiksēta secība?

Šajā kursā Jūs esat redzējuši daudzas atsevišķas sastāvdaļas. Praksē tās ir savstarpēji saistītas: DMARC politikai nav jēgas, ja SPF nav derīgs, un skaists SPF ieraksts nepalīdz, ja MX norāda uz serveri, kas neeksistē. Tāpēc kontrolsarakstu ejiet cauri no apakšas uz augšu ķēdē: vispirms vai pasts var nokļūt iekšā, tad vai Jūs izveidojat drošu savienojumu, tad vai Jūsu nosūtītajam pastam var uzticēties, un tikai pēc tam smalkākas lietas.

DNS kursa nodarbībā 8.5 ir kontrolsaraksts visam domēnam (reģistrācija, nosaukumu serveri, vietne). Šis kontrolsaraksts pievēršas tikai e-pastam.

Pie katra punkta ir norādīts: ko Jūs pārbaudāt, kā (ar rīku vai DNS pieprasījumu) un kad tas ir pareizi. Noslēguma uzdevumā programma automātiski veic tās pašas pārbaudes un salīdzina rezultātu ar to, ko atradāt Jūs.

A daļa: vai pasts var nonākt iekšā?

A1. MX ieraksti. Pieprasiet MX <domēns>. Labi, ja ir vismaz viens MX, un saimniekam ar mazāko skaitli ir A vai AAAA ieraksts. MX, kas norāda uz nosaukumu bez adreses, nozīmē, ka pasts nenonāk.
Īpašs gadījums: 0 . ir null MX (RFC 7505). Tas nozīmē "šis domēns nesaņem pastu". Tas ir pareizi domēnam, kas nekad nesaņem pastu, piemēram, example.com, un nepareizi Jūsu uzņēmuma domēnam.

A2. Pasta serveris atbild. Pirmais MX serveris pieņem savienojumus 25. portā. Mājās to bieži nevarat pats pārbaudīt, jo daudzi interneta pakalpojumu sniedzēji bloķē izejošo trafiku 25. portā. Tiešsaistes rīks vai noslēguma uzdevums to izdara Jūsu vietā. Labi, ja serveris sniedz 220 sveicienu un piedāvā STARTTLS.

A3. Testa vēstule no ārpuses. Nosūtiet vēstuli no adreses ārpus sava domēna. Vai tā nonāk, un ne surogātpasta mapē?

B daļa: vai Jūs varat izveidot drošu savienojumu?

B1. IMAP 993. portā ar servera nosaukumu, ko izmantojat savā pasta programmā. Labi, ja TLS savienojums izdodas, sertifikāts ir derīgs, tajā ir norādīts servera nosaukums un sertifikāts nebeidzas 14 dienu laikā.

B2. SMTP nosūtīšanai: 465. ports (tiešais TLS) un/vai 587 (STARTTLS). Labi, ja vismaz viens no abiem darbojas ar derīgu sertifikātu servera nosaukumam, un serveris piedāvā pieteikšanos (AUTH) tikai pēc tam, kad savienojums ir šifrēts.

Ja šeit saņemat kļūdu, vispirms pārbaudiet, vai izmantojat sava pakalpojumu sniedzēja servera nosaukumu, nevis savu mail.<domēns> bez sertifikāta (nodarbība 2.1 un 9. kļūda nodarbībā 8.3).

C daļa: vai Jūsu nosūtītajam pastam var uzticēties?

C1. SPF. Pieprasiet TXT <domēns>. Labi, ja:

• ir tieši viens ieraksts ar v=spf1;
• tas beidzas ar ~all vai -all (nekad +all vai ?all); iesācējiem ieteicams ~all, -all izmantojiet, ja esat pārliecināti, ka visi nosūtītāji ir iekļauti;
• meklēšanu rekursīvā uzskaite (include, a, mx, ptr, exists, redirect, arī katra include ietvaros) nepārsniedz 10, un ne vairāk kā 2 meklējumi atgriež tukšu rezultātu.

C2. DKIM. Katram nosūtītājam (Jūsu pasta serverim, Microsoft 365, Jūsu jaunumu vēstuļu pakalpojumam, Jūsu interneta veikalam) ir selektors. To varat atrast tāda nosūtītāja vēstules galvenē (s= un d= laukā DKIM-Signature, nodarbība 1.5). Pieprasiet TXT <selektors>._domainkey.<domēns> (iespējams, caur CNAME). Labi, ja ir netukšs p=, ar atslēgu, kas ir 2048 bitu vai lielāka RSA gadījumā (vai ed25519 atslēga).

C3. DMARC. Pieprasiet TXT _dmarc.<domēns>. Labi, ja ir tieši viens ieraksts ar v=DMARC1, ar derīgu p= (none, quarantine vai reject) un pārskata adresi (rua=mailto:...). Ieteicamā secība: sāciet ar p=none un lasiet pārskatus; tikai tad, kad visi nosūtītāji ir salāgoti, pārejiet uz quarantine un pēc tam reject (nodarbība 4.4). p=none bez pārskata adreses ir palaista iespēja: tad Jūs neko neredzat.

C4. Salāgošana praksē. Nosūtiet vēstuli no katra nosūtītāja uz savu Gmail vai Outlook.com adresi un izlasiet Authentication-Results: vai ir dmarc=pass?

D daļa: nosūtīšanas serveris

D1. Reverse DNS. Sava nosūtītā e-pasta galvenēs atrodiet IP adresi servera, kas vēstuli nodeva ārpasaulei (apakšējā Received rinda, kas nāk no ārpuses Jūsu pašu ierīces, nodarbība 1.5). Pieprasiet PTR (dig -x <ip>). Labi, ja ir nosaukums, un šis nosaukums norāda atpakaļ uz to pašu IP (FCrDNS, nodarbība 5.1). Arī Jūsu domēna MX serveriem jābūt kārtīgam PTR.

D2. Bloķēšanas saraksti. Pārbaudiet šo nosūtīšanas IP (un Jūsu MX IP) zināmajos bloķēšanas sarakstos. Labi, ja tas nekur neparādās. Ja tas tomēr ir sarakstā: vispirms atrodiet un novērsiet cēloni, tikai tad veiciet izņemšanu no saraksta (nodarbība 5.2). Koplietotā hostinga gadījumā tas ir Jūsu pakalpojumu sniedzēja uzdevums: nododiet tālāk IP un kļūdas paziņojumu.

E daļa: precizēšana (nav obligāti)

E1. MTA-STS un TLS-RPT. TXT _mta-sts.<domēns> un TXT _smtp._tls.<domēns>. Nav obligāti. Ja Jums ir MTA-STS, tad politikas failam jābūt sasniedzamam uz https://mta-sts.<domēns>/.well-known/mta-sts.txt un tam jāatbilst Jūsu MX (nodarbība 5.4).

E2. DANE. Tikai tad, ja Jūsu domēns un MX ir parakstīti ar DNSSEC: TLSA ieraksti uz _25._tcp.<mx-serveris>. Parasti to sakārto Jūsu e-pasta pakalpojumu sniedzējs savam MX.

F daļa: pastkastes, adreses un drošība

To nevar pārbaudīt neviena programma, bet tas tomēr ir svarīgi:

• F1. Nav catch-all; tikai apzināti izmantoti pseidonīmi un pāradresācijas; nav pāradresācijas uz Gmail vai citām ārējām adresēm (nodarbība 3.3).
• F2. Neviena pastkaste nav virs 80% no sava apjoma limita (nodarbība 3.2).
• F3. Visi lieto IMAP, nevis POP3 vairākās ierīcēs (nodarbība 1.3).
• F4. Spēcīgas, unikālas paroles paroļu pārvaldniekā; nav veco ierīču ar vecām parolēm; pastkastēs nav nezināmu pāradresācijas noteikumu (nodarbība 3.4).
• F5. Vietnes veidlapas sūta ar SMTP, izmantojot Jūsu pašu adresi kā From (nodarbība 7.3); jaunumu vēstules caur pakalpojumu ar savu DKIM (nodarbība 7.1).

No rezultāta uz darbību sarakstu

Pēc pārbaudes Jums būs zaļi, oranži un sarkani punkti. Novērsiet tos šādā secībā:

1. Sarkans A vai B daļā: pasts nenonāk vai Jūs nevarat izveidot drošu savienojumu. Vispirms novērst šo.
2. Sarkans C daļā: SPF nav derīgs (divi ieraksti, vairāk par desmit meklējumiem), DKIM trūkst kādam nosūtītājam, divi DMARC ieraksti. Tas nosaka, vai Jūsu pasts nonāk mērķī.
3. Sarkans D daļā: nav PTR vai ir bloķēšanas saraksta ieraksts. Parasti tas ir Jūsu pakalpojumu sniedzēja uzdevums.
4. Oranžs: p=none bez pārskatiem, ?all, 1024 bitu atslēga, sertifikāts, kas drīz beidzas.
5. E un F daļa: uzlabojumi un uzturēšana.

Pēc tam plānojiet uzturēšanu: katru ceturksni atkārtojiet kontrolsarakstu, un vienmēr pēc jauna pakalpojuma pievienošanas vai pārcelšanās. Katru mēnesi izlasiet savus DMARC pārskatus, vai ļaujiet pārskatu pakalpojumam brīdināt Jūs, kad parādās jauns avots.

Praksē: rīki

Pārbaudēm varat izmantot dažādus rīkus. WebOké piedāvā, piemēram, bezmaksas E-pasta pārbaudi un Domēna veselību (arī domēniem, kas neatrodas pie WebOké); neatkarīgi rīki, piemēram, internet.nl e-pasta tests un MXToolbox, veic līdzīgas pārbaudes. Neviens rīks neredz visu: DKIM selektors gandrīz vienmēr jānorāda pašam, un nosūtīšanas IP iegūstat no savām galvenēm.

Kopsavilkums

• Pārbaudiet ķēdes secībā: ienākšana, savienojums, uzticamība, nosūtīšanas serveris, precizēšana, pārvaldība.
• Ienākšana: MX ar esošu serveri, null MX tikai domēniem bez pasta.
• Savienojums: derīgs sertifikāts 993. un 465./587. portā servera nosaukumam, kuru izmantojat.
• Uzticamība: viens SPF līdz desmit meklējumiem ar ~all/-all, DKIM katram nosūtītājam, viens DMARC ar rua, un salāgošana praksē.
• Nosūtīšanas serveris: PTR ar FCrDNS un bez bloķēšanas sarakstiem. Izveidojiet darbību sarakstu secībā un atkārtojiet pārbaudi katru ceturksni.

Tests

Uzdevums

Uzdevums Z8.4: Noslēguma uzdevums: Jūsu paša domēns. Ievadiet savu domēnu (ja Jums tāda nav, izmantojiet internet.nl kā piemēru), servera nosaukumu, ko izmantojat savā pasta programmā, DKIM selektoru(s), ko atradāt galvenēs, un sava nosūtīšanas servera IP adresi. Pie katra punkta no A līdz E daļai ievadiet to, ko atradāt pats. Programma pati veic katru apakšpārbaudi un pie katra punkta liek zaļu, oranžu vai sarkanu krāsu blakus Jūsu atbildei, ar saiti uz nodarbību. Pēc tam uzrakstiet savu darbību sarakstu (ne vairāk kā pieci punkti, secīgi).

Uzdevums O8.4: Pārbaudīt F sadaļu. Atbildiet uz pieciem jautājumiem no F daļas par savām pastkastēm un pierakstiet, ko Jūs mainīsiet.

Lasīt tālāk

Šajos rakstos aprakstītie soļi attiecas uz WebOké paneļiem; citiem pakalpojumu sniedzējiem process ir līdzīgs.

• WebOké rokasgrāmata 5.17: Domēna un e-pasta veselība: pārbaude un novēršana
• WebOké rokasgrāmata 6.7: Karte E-pasta iestatīšana (MX, SPF, DKIM, DMARC)
• Internet.nl kontrolsaraksts: sasniedziet 100% ar Jūsu tīmekļa vietni un e-pastu
• Vietne vai e-pasts nedarbojas pēc pārvietošanas vai DNS izmaiņām: pārbaudiet savu domēnu
• Bezmaksas DNS kurss 8.5: Kontrolsaraksts Jūsu pašu domēnam
• Internet.nl, pārbaudiet savu e-pastu: https://internet.nl/test-mail/