Lista de verificação: a sua caixa de correio em ordem

Módulo 8: Mudar de fornecedor e organizar o seu domínio · Tempo de leitura: 13 minutos

Objetivo de aprendizagem: Após esta lição, será capaz de controlar, com uma lista de verificação fixa, o email do seu próprio domínio do início ao fim, explicar o resultado e elaborar uma lista de ações pela ordem correta.

Conceitos-chave: lista de verificação, receção (MX, servidor de correio, null MX), ligação (TLS, certificado, portas 993/465/587), envio (SPF, DKIM, DMARC), o servidor de envio (PTR, FCrDNS, listas de bloqueio), entrega encriptada (MTA-STS, TLS-RPT, DANE), caixas de correio e endereços, segurança, lista de ações, manutenção periódica

Porquê uma ordem fixa?

Ao longo desta formação viu muitos elementos isolados. Na prática, estão todos interligados: uma política DMARC não tem qualquer utilidade se o SPF for inválido, e um registo SPF impecável não ajuda se o MX apontar para um servidor que não existe. Por isso, percorra a lista de verificação de baixo para cima na cadeia: primeiro se o correio consegue chegar, depois se estabelece ligação de forma segura, depois se o correio que envia é fiável e só depois os refinamentos.

O curso de DNS tem, na lição 8.5, uma lista de verificação para todo o domínio (registo, servidores de nomes, sítio web). Esta lista de verificação aprofunda apenas o email.

Para cada ponto indica-se: o quê verifica, como (com uma ferramenta ou uma consulta DNS) e quando está correto. No exercício final, o programa faz as mesmas verificações automaticamente e compara o resultado com o que encontrou.

Parte A: o correio consegue chegar?

A1. Registos MX. Consulte MX <domínio>. Está correto se houver pelo menos um MX e se o anfitrião com o número mais baixo tiver um registo A ou AAAA. Um MX que aponte para um nome sem endereço significa que o correio não chega.
Caso especial: 0 . é um null MX (RFC 7505). Isto significa "este domínio não recebe correio". É correto para um domínio que nunca recebe correio, como example.com, e incorreto para o seu domínio profissional.

A2. O servidor de correio responde. O primeiro anfitrião MX aceita ligações na porta 25. Em casa, muitas vezes não consegue testar isto por si próprio, porque muitos fornecedores de internet bloqueiam o tráfego de saída na porta 25. Uma ferramenta online ou o exercício final fazem-no por si. Está correto se o servidor der uma saudação 220 e oferecer STARTTLS.

A3. Mensagem de teste a partir do exterior. Envie uma mensagem a partir de um endereço fora do seu domínio. Chega, e não vai parar à pasta de spam?

Parte B: consegue estabelecer ligação de forma segura?

B1. IMAP na porta 993 com o nome de servidor que utiliza no seu programa de correio eletrónico. Está correto se a ligação TLS for bem-sucedida, o certificado for válido, o nome do servidor constar nele e o certificado não expirar dentro de 14 dias.

B2. SMTP para envio: porta 465 (TLS direto) e/ou 587 (STARTTLS). Está correto se pelo menos uma das duas funcionar com um certificado válido para o nome do servidor, e o servidor só oferecer início de sessão (AUTH) depois de a ligação estar encriptada.

Se obtiver aqui um erro, verifique primeiro se está a usar o nome de servidor do seu fornecedor e não um mail.<domínio> próprio sem certificado (lição 2.1 e erro 9 da lição 8.3).

Parte C: o correio que envia é fiável?

C1. SPF. Consulte TXT <domínio>. Está correto se:

• existir exatamente um registo com v=spf1;
• terminar em ~all ou -all (nunca +all ou ?all); para principiantes, o conselho é ~all, e -all apenas se tiver a certeza de que todos os remetentes estão incluídos;
• a contagem recursiva de consultas (include, a, mx, ptr, exists, redirect, também dentro de cada include) não ultrapassar 10, e no máximo 2 consultas regressem vazias.

C2. DKIM. Por remetente (o seu servidor de correio, Microsoft 365, o seu serviço de newsletter, a sua loja online) um selector. Encontra-o nos cabeçalhos de uma mensagem desse remetente (s= e d= na assinatura DKIM-Signature, lição 1.5). Consulte TXT <selector>._domainkey.<domínio> (eventualmente através de um CNAME). Está correto se existir um p= não vazio, com uma chave de 2048 bits ou mais para RSA (ou uma chave ed25519).

C3. DMARC. Consulte TXT _dmarc.<domínio>. Está correto se existir exatamente um registo com v=DMARC1, com um p= válido (none, quarantine ou reject) e um endereço de relatório (rua=mailto:...). O conselho é: comece com p=none e leia os relatórios; só quando todos os remetentes estiverem alinhados avança para quarantine e depois reject (lição 4.4). p=none sem endereço de relatório é uma oportunidade perdida: assim não vê nada.

C4. Alinhamento na prática. Envie uma mensagem de cada remetente para um endereço próprio do Gmail ou do Outlook.com e leia Authentication-Results: dmarc=pass?

Parte D: o servidor de envio

D1. DNS inverso. Procure nos cabeçalhos de uma mensagem que enviou o endereço IP do servidor que entregou a mensagem ao exterior (a última linha Received que provém de fora do seu próprio dispositivo, lição 1.5). Consulte o PTR (dig -x <ip>). Está correto se existir um nome e esse nome apontar novamente para o mesmo IP (FCrDNS, lição 5.1). Também os servidores MX do seu domínio devem ter um PTR correto.

D2. Listas de bloqueio. Verifique esse IP de envio (e o IP do seu MX) nas listas de bloqueio conhecidas. Está correto se não constar de nenhuma. Se constar: primeiro encontrar e resolver a causa, só depois pedir a remoção (lição 5.2). Em alojamento partilhado, isto é tarefa do seu fornecedor: indique o IP e a mensagem de erro.

Parte E: refinamento (opcional)

E1. MTA-STS e TLS-RPT. TXT _mta-sts.<domínio> e TXT _smtp._tls.<domínio>. Não é obrigatório. Se tiver MTA-STS, o ficheiro de política em https://mta-sts.<domínio>/.well-known/mta-sts.txt tem de estar acessível e corresponder ao seu MX (lição 5.4).

E2. DANE. Apenas se o seu domínio e o MX estiverem assinados com DNSSEC: registos TLSA em _25._tcp.<anfitrião-mx>. Normalmente, o seu fornecedor de correio trata disto para o seu próprio MX.

Parte F: caixas de correio, endereços e segurança

Isto não pode ser verificado por um programa, mas faz parte da lista:

• F1. Sem catch-all; apenas aliases e redirecionamentos que utiliza conscientemente; sem redirecionamento para o Gmail ou outros endereços externos (lição 3.3).
• F2. Nenhuma caixa de correio acima de 80% da sua quota (lição 3.2).
• F3. Todos trabalham com IMAP, não POP3 em vários dispositivos (lição 1.3).
• F4. Palavras-passe fortes e únicas num gestor de palavras-passe; sem dispositivos antigos com palavras-passe antigas; sem regras de redirecionamento desconhecidas nas caixas de correio (lição 3.4).
• F5. Os formulários do sítio web enviam através de SMTP com o seu próprio endereço como From (lição 7.3); as newsletters através de um serviço com DKIM próprio (lição 7.1).

Do resultado à lista de ações

Após a verificação, terá pontos verdes, laranja e vermelhos. Resolva-os pela seguinte ordem:

1. Vermelho na parte A ou B: o correio não chega ou não consegue estabelecer ligação de forma segura. Resolver primeiro.
2. Vermelho na parte C: SPF inválido (dois registos, mais de dez consultas), DKIM em falta para um remetente, dois registos DMARC. Isto determina se o seu correio chega.
3. Vermelho na parte D: sem PTR ou presença numa lista de bloqueio. Normalmente, é tarefa do seu fornecedor.
4. Laranja: p=none sem relatórios, ?all, uma chave de 1024 bits, um certificado prestes a expirar.
5. Parte E e F: melhorias e manutenção.

Depois, planeie a manutenção: repita a lista de verificação todos os trimestres, e sempre após associar um novo serviço ou uma mudança. Leia mensalmente os seus relatórios DMARC, ou peça a um serviço de relatórios que o avise quando surgir uma nova fonte.

Na prática: ferramentas

Para as verificações pode utilizar várias ferramentas. No WebOké, são por exemplo a Verificação de Email e a Saúde do Domínio, gratuitas (também para domínios que não estão no WebOké); ferramentas independentes como o teste de email do internet.nl e o MXToolbox fazem verificações semelhantes. Nenhuma ferramenta vê tudo: um selector DKIM tem quase sempre de ser indicado por si, e o IP de envio é obtido a partir dos seus próprios cabeçalhos.

Resumo

• Verifique pela ordem da cadeia: receção, ligação, confiança, servidor de envio, refinamento, gestão.
• Receção: MX com anfitrião existente, null MX apenas para domínios sem correio.
• Ligação: certificado válido nas portas 993 e 465/587 para o nome de servidor que utiliza.
• Confiança: um SPF dentro de dez consultas com ~all/-all, DKIM por remetente, um DMARC com rua, e alinhamento na prática.
• Servidor de envio: PTR com FCrDNS e ausência de listas de bloqueio. Elabore uma lista de ações por ordem e repita a verificação todos os trimestres.

Quiz

Exercício

Exercício Z8.4: Exercício final: o seu próprio domínio. Indique o seu próprio domínio (se não tiver nenhum, utilize internet.nl como exemplo), o nome de servidor que utiliza no seu programa de correio eletrónico, o(s) selector(es) DKIM que encontrou nos seus cabeçalhos e o endereço IP do seu servidor de envio. Preencha, por ponto, da parte A até à E, o que encontrou. O programa efetua cada verificação parcial e coloca, por ponto, verde, laranja ou vermelho ao lado da sua resposta, com uma ligação para a lição. Depois, escreva a sua lista de ações (no máximo cinco pontos, por ordem).

Exercício O8.4: Rever a parte F. Responda às cinco perguntas da parte F para as suas próprias caixas de correio e anote o que vai mudar.

Para saber mais

Os passos descritos nestes artigos aplicam-se aos painéis do WebOké; noutros fornecedores o funcionamento é semelhante.

• Manual do WebOké 5.17: Saúde do domínio e e-mail: verificar e resolver
• Manual do WebOké 6.7: O cartão Configurar e-mail (MX, SPF, DKIM, DMARC)
• Lista de verificação Internet.nl: obter 100% com o seu website e e-mail
• O site ou o e-mail não funciona após uma migração ou alteração de DNS: verifique o seu domínio
• Curso gratuito de DNS 8.5: Lista de verificação para o seu próprio domínio
• Internet.nl, teste o seu email: https://internet.nl/test-mail/