Контролен списък: Вашата поща в ред

Модул 8: Преместване и подреждане на Вашия домейн · Време за четене: 13 минути

Учебна цел: След този урок ще можете с помощта на фиксиран контролен списък да проверите имейла на собствения си домейн от начало до край, да обясните резултата и да съставите списък с действия в правилния ред.

Основни понятия: контролен списък, получаване (MX, пощенски сървър, null MX), свързване (TLS, сертификат, портове 993/465/587), изпращане (SPF, DKIM, DMARC), сървърът за изпращане (PTR, FCrDNS, blocklists), криптирано доставяне (MTA-STS, TLS-RPT, DANE), пощенски кутии и адреси, сигурност, списък с действия, периодична поддръжка

Защо фиксиран ред?

В този курс видяхте много отделни части. На практика те са свързани помежду си: политиката за DMARC няма смисъл, ако SPF е невалиден, а добре съставен SPF запис не помага, ако MX сочи към сървър, който не съществува. Затова преминавате през контролния списък отдолу нагоре във веригата: първо дали поща изобщо може да пристигне, после дали се свързвате сигурно, после дали на изпратената от Вас поща може да се разчита, и чак след това финото настройване.

В курса за DNS, урок 8.5 съдържа контролен списък за целия домейн (регистрация, nameservers, уебсайт). Този контролен списък се задълбочава само в имейла.

За всяка точка е посочено: какво проверявате, как (с инструмент или чрез DNS заявка) и кога е наред. В заключителната задача програмата извършва същите проверки автоматично и поставя резултата редом до това, което сте установили Вие.

Част А: може ли поща да пристигне?

А1. MX записи. Направете заявка за MX <домейн>. Наред е, ако има поне един MX и хостът с най-ниското число има A или AAAA запис. MX, сочещ към име без адрес, означава, че пощата не пристига.
Особен случай: 0 . е null MX (RFC 7505). Това означава "този домейн не получава поща". Това е наред за домейн, който никога не получава поща, например example.com, и е грешка за Вашия бизнес домейн.

А2. Пощенският сървър отговаря. Първият MX хост приема връзки на порт 25. У дома често не можете да тествате това сами, защото много интернет доставчици блокират изходящ трафик на порт 25. Онлайн инструмент или заключителната задача го правят вместо Вас. Наред е, ако сървърът дава поздрав 220 и предлага STARTTLS.

А3. Тестова поща отвън. Изпратете писмо от адрес извън Вашия домейн. Пристига ли то, и не в папката за спам?

Част Б: можете ли да се свържете сигурно?

Б1. IMAP на порт 993 с името на сървъра, което използвате в пощенската си програма. Наред е, ако TLS връзката е успешна, сертификатът е валиден, името на сървъра присъства в него и сертификатът не изтича в рамките на 14 дни.

Б2. SMTP за изпращане: порт 465 (директен TLS) и/или 587 (STARTTLS). Наред е, ако поне едно от двете работи с валиден сертификат за името на сървъра, и сървърът предлага вписване (AUTH) едва след като връзката е криптирана.

Ако тук получите грешка, първо проверете дали използвате името на сървъра на Вашия доставчик, а не собствен mail.<домейн> без сертификат (урок 2.1 и грешка 9 в урок 8.3).

Част В: може ли да се разчита на изпратената от Вас поща?

В1. SPF. Направете заявка за TXT <домейн>. Наред е, ако:

• има точно един запис с v=spf1;
• завършва на ~all или -all (никога +all или ?all); за начинаещи препоръката е ~all, -all ако сте сигурни, че всички изпращачи са включени;
• рекурсивното броене на справки (include, a, mx, ptr, exists, redirect, включително вътре във всеки include) не надвишава 10, и най-много 2 справки се връщат празни.

В2. DKIM. По един селектор за всеки изпращач (Вашият пощенски сървър, Microsoft 365, Вашата услуга за бюлетини, Вашият онлайн магазин). Намирате го в кополовките на писмо от съответния изпращач (s= и d= в DKIM-Signature, урок 1.5). Направете заявка за TXT <селектор>._domainkey.<домейн> (евентуално чрез CNAME). Наред е, ако има непразен p=, с ключ от 2048 бита или повече за RSA (или ed25519 ключ).

В3. DMARC. Направете заявка за TXT _dmarc.<домейн>. Наред е, ако има точно един запис с v=DMARC1, с валиден p= (none, quarantine или reject) и адрес за отчети (rua=mailto:...). Препоръчителният път: започнете с p=none и четете отчетите; едва когато всички изпращачи са подравнени, преминавате към quarantine и после към reject (урок 4.4). p=none без адрес за отчети е пропусната възможност: тогава не виждате нищо.

В4. Подравняване на практика. Изпратете писмо от всеки изпращач до собствен адрес в Gmail или Outlook.com и прочетете Authentication-Results: dmarc=pass?

Част Г: сървърът за изпращане

Г1. Обратен DNS. Намерете в кополовките на писмо, което сте изпратили сами, IP адреса на сървъра, който е предал писмото на външния свят (най-долният ред Received, идващ извън Вашето собствено устройство, урок 1.5). Направете заявка за PTR (dig -x <ip>). Наред е, ако има име и това име сочи обратно към същия IP (FCrDNS, урок 5.1). И MX сървърите на Вашия домейн трябва да имат изряден PTR.

Г2. Blocklists. Проверете дали този IP за изпращане (и IP адресът на Вашия MX) е в известните blocklists. Наред е, ако не фигурира никъде. Ако фигурира: първо намерете и отстранете причината, едва след това правете delisting (урок 5.2). При споделен хостинг това е задача за Вашия доставчик: предайте му IP адреса и съобщението за грешка.

Част Д: финно настройване (по избор)

Д1. MTA-STS и TLS-RPT. TXT _mta-sts.<домейн> и TXT _smtp._tls.<домейн>. Не е задължително. Ако имате MTA-STS, файлът с политиката на https://mta-sts.<домейн>/.well-known/mta-sts.txt трябва да е достъпен и да съответства на Вашия MX (урок 5.4).

Д2. DANE. Само ако Вашият домейн и MX са подписани с DNSSEC: TLSA записи на _25._tcp.<mx-хост>. Обикновено Вашият доставчик на поща урежда това за своя собствен MX.

Част Е: пощенски кутии, адреси и сигурност

Това не може да бъде проверено от програма, но е не по-малко важна част:

• Е1. Няма catch-all; само псевдоними и пренасочвания, които използвате съзнателно; без пренасочване към Gmail или други външни адреси (урок 3.3).
• Е2. Никоя пощенска кутия не е над 80% от квотата си (урок 3.2).
• Е3. Всеки работи с IMAP, не с POP3 на няколко устройства (урок 1.3).
• Е4. Силни, уникални пароли в мениджър на пароли; няма стари устройства със стари пароли; няма непознати правила за пренасочване в пощенските кутии (урок 3.4).
• Е5. Формулярите на уебсайта изпращат през SMTP с Вашия собствен адрес като From (урок 7.3); бюлетините през услуга със собствен DKIM (урок 7.1).

От резултат към списък с действия

След проверката имате зелени, оранжеви и червени точки. Обработвайте ги в следния ред:

1. Червено в част А или Б: пощата не пристига или не можете да се свържете сигурно. Решавайте първо.
2. Червено в част В: невалиден SPF (два записа, повече от десет справки), липсващ DKIM за изпращач, два DMARC записа. Това определя дали пощата Ви пристига.
3. Червено в част Г: липсващ PTR или вписване в blocklist. Обикновено задача за Вашия доставчик.
4. Оранжево: p=none без отчети, ?all, ключ от 1024 бита, сертификат, който скоро изтича.
5. Част Д и Е: подобрения и поддръжка.

След това планирайте поддръжка: всяко тримесечие преминаване през контролния списък отново, и винаги след свързване на нова услуга или преместване. Четете месечно Вашите DMARC отчети, или нека услуга за отчети Ви предупреждава, когато се появи нов източник.

На практика: инструменти

За проверките можете да използвате различни инструменти. При WebOké това са например безплатните E-mailcheck и Здраве на домейна (и за домейни, които не са при WebOké); независими инструменти като имейл теста на internet.nl и MXToolbox извършват сходни проверки. Нито един инструмент не вижда всичко: DKIM селектор почти винаги трябва да посочите сами, а IP адреса за изпращане взимате от собствените си кополовки.

Обобщение

• Проверявайте в реда на веригата: получаване, свързване, доверие, сървър за изпращане, финно настройване, поддръжка.
• Получаване: MX със съществуващ хост, null MX само за домейни без поща.
• Свързване: валиден сертификат на 993 и 465/587 за името на сървъра, което използвате.
• Доверие: един SPF в рамките на десет справки с ~all/-all, DKIM за всеки изпращач, един DMARC с rua, и подравняване на практика.
• Сървър за изпращане: PTR с FCrDNS и без blocklists. Съставете списък с действия подредени по приоритет и повтаряйте проверката всяко тримесечие.

Тест

Задача

Задача Z8.4: Финална задача: Вашият собствен домейн. Въведете собствения си домейн (ако нямате такъв, използвайте internet.nl като пример), името на сървъра, което използвате в пощенската си програма, DKIM селектора(ите), който сте открили в кополовките, и IP адреса на Вашия сървър за изпращане. Попълнете за всяка точка от част А до Д какво сте установили сами. Програмата извършва всяка частична проверка сама и поставя зелено, оранжево или червено до Вашия отговор, с връзка към съответния урок. След това напишете Вашия списък с действия (максимум пет точки, подредени по приоритет).

Задача O8.4: Преглед на част F. Отговорете на петте въпроса от част Е за собствените си пощенски кутии и запишете какво ще промените.

Допълнително четене

Стъпките в тези статии се отнасят за панелите на WebOké; при други доставчици работи по сходен начин.

• Ръководство на WebOké 5.17: Здраве на домейна и имейла: проверка и отстраняване на проблеми
• Ръководство на WebOké 6.7: Картата Настройване на имейл (MX, SPF, DKIM, DMARC)
• Контролен списък на Internet.nl
• Уебсайтът или имейлът не работи след преместване или промяна на DNS: проверете Вашия домейн
• Безплатен курс по DNS 8.5: Контролен списък за Вашия собствен домейн
• Internet.nl, тествайте имейла си: https://internet.nl/test-mail/