Λίστα ελέγχου: τακτοποιήστε το email σας

Ενότητα 8: Μετακόμιση και τακτοποίηση του domain σας · Χρόνος ανάγνωσης: 13 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε, με μια σταθερή λίστα ελέγχου, να ελέγξετε από την αρχή μέχρι το τέλος το email του δικού σας domain, να εξηγήσετε το αποτέλεσμα και να φτιάξετε μια λίστα ενεργειών με τη σωστή σειρά.

Βασικές έννοιες: λίστα ελέγχου, λήψη (MX, mailserver, null MX), σύνδεση (TLS, πιστοποιητικό, θύρες 993/465/587), αποστολή (SPF, DKIM, DMARC), ο server αποστολής (PTR, FCrDNS, blocklists), κρυπτογραφημένη παράδοση (MTA-STS, TLS-RPT, DANE), mailboxes και διευθύνσεις, ασφάλεια, λίστα ενεργειών, περιοδική συντήρηση

Γιατί μια σταθερή σειρά;

Έχετε δει σε αυτό το μάθημα πολλά επιμέρους στοιχεία. Στην πράξη συνδέονται μεταξύ τους: μια πολιτική DMARC δεν έχει νόημα αν το SPF είναι άκυρο, και μια καλοφτιαγμένη εγγραφή SPF δεν βοηθάει αν το MX δείχνει σε έναν server που δεν υπάρχει. Γι' αυτό διατρέχετε τη λίστα ελέγχου από κάτω προς τα πάνω στην αλυσίδα: πρώτα αν μπορεί να φτάσει mail, μετά αν συνδέεστε με ασφάλεια, μετά αν το mail που στέλνετε είναι αξιόπιστο, και μόνο έπειτα η λεπτομερής βελτίωση.

Το μάθημα DNS έχει στο μάθημα 8.5 μια λίστα ελέγχου για ολόκληρο το domain (καταχώριση, nameservers, ιστότοπος). Αυτή η λίστα ελέγχου εστιάζει βαθύτερα μόνο στο email.

Για κάθε σημείο αναφέρεται: τι ελέγχετε, πώς (με ένα εργαλείο ή ένα ερώτημα DNS) και πότε είναι εντάξει. Στην τελική άσκηση το πρόγραμμα κάνει αυτόματα τους ίδιους ελέγχους και τοποθετεί το αποτέλεσμα δίπλα σε αυτό που βρήκατε εσείς.

Μέρος Α: μπορεί να φτάσει mail;

A1. Εγγραφές MX. Ζητήστε MX <domain>. Είναι εντάξει αν υπάρχει τουλάχιστον ένα MX, και ο host με τον μικρότερο αριθμό έχει εγγραφή A ή AAAA. Ένα MX που δείχνει σε όνομα χωρίς διεύθυνση σημαίνει ότι το mail δεν φτάνει.
Ειδική περίπτωση: 0 . είναι ένα null MX (RFC 7505). Αυτό σημαίνει "αυτό το domain δεν δέχεται mail". Αυτό είναι σωστό για ένα domain που ποτέ δεν λαμβάνει mail, όπως το example.com, και λάθος για το επιχειρηματικό σας domain.

A2. Ο mailserver απαντά. Ο πρώτος MX-host δέχεται συνδέσεις στη θύρα 25. Από το σπίτι συχνά δεν μπορείτε να το ελέγξετε μόνοι σας, επειδή πολλοί πάροχοι internet μπλοκάρουν εξερχόμενη κίνηση στη θύρα 25. Ένα online εργαλείο ή η τελική άσκηση το κάνει για εσάς. Είναι εντάξει αν ο server δίνει ένα καλωσόρισμα 220 και προσφέρει STARTTLS.

A3. Δοκιμαστικό mail από έξω. Στείλτε ένα mail από μια διεύθυνση εκτός του domain σας. Φτάνει, και όχι στον φάκελο ανεπιθύμητης αλληλογραφίας;

Μέρος Β: μπορείτε να συνδεθείτε με ασφάλεια;

B1. IMAP στη θύρα 993 με το όνομα server που χρησιμοποιείτε στο πρόγραμμα email σας. Είναι εντάξει αν η σύνδεση TLS πετυχαίνει, το πιστοποιητικό είναι έγκυρο, το όνομα του server περιέχεται σε αυτό και το πιστοποιητικό δεν λήγει εντός 14 ημερών.

B2. SMTP για αποστολή: θύρα 465 (απευθείας TLS) ή/και 587 (STARTTLS). Είναι εντάξει αν τουλάχιστον μία από τις δύο λειτουργεί με έγκυρο πιστοποιητικό για το όνομα του server, και ο server προσφέρει σύνδεση (AUTH) μόνο αφού η σύνδεση κρυπτογραφηθεί.

Αν λάβετε εδώ σφάλμα, ελέγξτε πρώτα αν χρησιμοποιείτε το όνομα server του παρόχου σας και όχι ένα δικό σας mail.<domain> χωρίς πιστοποιητικό (μάθημα 2.1 και σφάλμα 9 στο μάθημα 8.3).

Μέρος Γ: είναι αξιόπιστο το mail που στέλνετε;

Γ1. SPF. Ζητήστε TXT <domain>. Είναι εντάξει αν:

• υπάρχει ακριβώς μία εγγραφή με v=spf1·
• τελειώνει σε ~all ή -all (ποτέ +all ή ?all)· για αρχάριους η σύσταση είναι ~all, -all αν είστε σίγουροι ότι όλοι οι αποστολείς περιλαμβάνονται·
• η αναδρομική καταμέτρηση των αναζητήσεων (include, a, mx, ptr, exists, redirect, ακόμη και μέσα σε κάθε include) δεν ξεπερνά το 10, και το πολύ 2 αναζητήσεις επιστρέφουν κενό αποτέλεσμα.

Γ2. DKIM. Ανά αποστολέα (ο mailserver σας, το Microsoft 365, η υπηρεσία newsletter σας, το e-shop σας) ένας selector. Τον βρίσκετε στις κεφαλίδες ενός mail από εκείνον τον αποστολέα (s= και d= στο DKIM-Signature, μάθημα 1.5). Ζητήστε TXT <selector>._domainkey.<domain> (ενδεχομένως μέσω CNAME). Είναι εντάξει αν υπάρχει μη κενό p=, με κλειδί 2048 bit ή περισσότερο για RSA (ή κλειδί ed25519).

Γ3. DMARC. Ζητήστε TXT _dmarc.<domain>. Είναι εντάξει αν υπάρχει ακριβώς μία εγγραφή με v=DMARC1, με έγκυρο p= (none, quarantine ή reject) και μια διεύθυνση αναφοράς (rua=mailto:...). Η σύσταση: ξεκινήστε με p=none και διαβάστε τις αναφορές· μόνο αφού όλοι οι αποστολείς είναι ευθυγραμμισμένοι, προχωρήστε σε quarantine και στη συνέχεια σε reject (μάθημα 4.4). Το p=none χωρίς διεύθυνση αναφοράς είναι χαμένη ευκαιρία: τότε δεν βλέπετε τίποτα.

Γ4. Ευθυγράμμιση στην πράξη. Στείλτε ένα mail από κάθε αποστολέα σε μια δική σας διεύθυνση Gmail ή Outlook.com και διαβάστε το Authentication-Results: dmarc=pass;

Μέρος Δ: ο server αποστολής

Δ1. Αντίστροφο DNS. Αναζητήστε στις κεφαλίδες ενός mail που στείλατε εσείς οι ίδιοι τη διεύθυνση IP του server που παρέδωσε το mail στον έξω κόσμο (την κατώτερη γραμμή Received που προέρχεται από εκτός της δικής σας συσκευής, μάθημα 1.5). Ζητήστε το PTR (dig -x <ip>). Είναι εντάξει αν υπάρχει όνομα, και αυτό το όνομα δείχνει πίσω στην ίδια IP (FCrDNS, μάθημα 5.1). Και οι MX servers του domain σας πρέπει να έχουν ένα σωστό PTR.

Δ2. Blocklists. Ελέγξτε αυτή την IP αποστολής (και την IP του MX σας) στις γνωστές blocklists. Είναι εντάξει αν δεν εμφανίζεται πουθενά. Αν εμφανίζεται: πρώτα βρείτε και λύστε την αιτία, μετά κάντε delisting (μάθημα 5.2). Σε κοινόχρηστο hosting αυτό είναι καθήκον του παρόχου σας: δώστε του την IP και το μήνυμα σφάλματος.

Μέρος Ε: λεπτομερής βελτίωση (προαιρετικό)

Ε1. MTA-STS και TLS-RPT. TXT _mta-sts.<domain> και TXT _smtp._tls.<domain>. Δεν είναι υποχρεωτικό. Αν έχετε MTA-STS, το αρχείο πολιτικής πρέπει να είναι προσβάσιμο στο https://mta-sts.<domain>/.well-known/mta-sts.txt και να συμφωνεί με το MX σας (μάθημα 5.4).

Ε2. DANE. Μόνο αν το domain σας και το MX είναι υπογεγραμμένα με DNSSEC: εγγραφές TLSA στο _25._tcp.<mx-host>. Συνήθως αυτό το ρυθμίζει ο πάροχος email σας για το δικό του MX.

Μέρος ΣΤ: mailboxes, διευθύνσεις και ασφάλεια

Αυτό δεν μπορεί να το ελέγξει κανένα πρόγραμμα για εσάς, αλλά ανήκει στη λίστα:

• ΣΤ1. Όχι catch-all· μόνο aliases και ανακατευθύνσεις που χρησιμοποιείτε συνειδητά· καμία ανακατεύθυνση προς Gmail ή άλλες εξωτερικές διευθύνσεις (μάθημα 3.3).
• ΣΤ2. Κανένα mailbox πάνω από το 80% της χωρητικότητάς του (μάθημα 3.2).
• ΣΤ3. Όλοι εργάζονται με IMAP, όχι POP3 σε πολλές συσκευές (μάθημα 1.3).
• ΣΤ4. Ισχυροί, μοναδικοί κωδικοί πρόσβασης σε διαχειριστή κωδικών· καμία παλιά συσκευή με παλιούς κωδικούς· καμία άγνωστη κανόνα ανακατεύθυνσης στα mailboxes (μάθημα 3.4).
• ΣΤ5. Οι φόρμες του ιστότοπου αποστέλλουν μέσω SMTP με τη δική σας διεύθυνση ως From (μάθημα 7.3)· τα newsletter μέσω υπηρεσίας με δικό της DKIM (μάθημα 7.1).

Από το αποτέλεσμα στη λίστα ενεργειών

Μετά τον έλεγχο έχετε πράσινα, πορτοκαλί και κόκκινα σημεία. Αντιμετωπίστε τα με αυτή τη σειρά:

1. Κόκκινο στο μέρος Α ή Β: το mail δεν φτάνει ή δεν μπορείτε να συνδεθείτε με ασφάλεια. Λύστε το πρώτα.
2. Κόκκινο στο μέρος Γ: άκυρο SPF (δύο εγγραφές, περισσότερες από δέκα αναζητήσεις), λείπει DKIM για έναν αποστολέα, δύο εγγραφές DMARC. Αυτό καθορίζει αν το mail σας φτάνει.
3. Κόκκινο στο μέρος Δ: κανένα PTR ή καταχώριση σε blocklist. Συνήθως είναι καθήκον του παρόχου σας.
4. Πορτοκαλί: p=none χωρίς αναφορές, ?all, κλειδί 1024 bit, πιστοποιητικό που λήγει σύντομα.
5. Μέρος Ε και ΣΤ: βελτιώσεις και συντήρηση.

Στη συνέχεια προγραμματίστε συντήρηση: κάθε τρίμηνο επανάληψη της λίστας ελέγχου, και πάντα μετά τη σύνδεση νέας υπηρεσίας ή μια μετεγκατάσταση. Διαβάζετε μηνιαία τις αναφορές DMARC σας, ή αναθέστε σε υπηρεσία αναφορών να σας προειδοποιεί όταν εμφανίζεται νέα πηγή.

Στην πράξη: εργαλεία

Για τους ελέγχους μπορείτε να χρησιμοποιήσετε διάφορα εργαλεία. Στο WebOké αυτά είναι για παράδειγμα το δωρεάν E-mailcheck και το Domain gezondheid (Υγεία Domain, και για domains που δεν βρίσκονται στο WebOké)· ανεξάρτητα εργαλεία όπως το email test του internet.nl και το MXToolbox κάνουν παρόμοιους ελέγχους. Κανένα εργαλείο δεν βλέπει τα πάντα: έναν DKIM selector σχεδόν πάντα πρέπει να τον δώσετε εσείς, και την IP αποστολής την αντλείτε από τις δικές σας κεφαλίδες.

Σύνοψη

• Ελέγξτε με τη σειρά της αλυσίδας: λήψη, σύνδεση, εμπιστοσύνη, server αποστολής, λεπτομερής βελτίωση, διαχείριση.
• Λήψη: MX με υπαρκτό host, null MX μόνο για domains χωρίς mail.
• Σύνδεση: έγκυρο πιστοποιητικό στο 993 και στο 465/587 για το όνομα server που χρησιμοποιείτε.
• Εμπιστοσύνη: ένα SPF εντός δέκα αναζητήσεων με ~all/-all, DKIM ανά αποστολέα, ένα DMARC με rua, και ευθυγράμμιση στην πράξη.
• Server αποστολής: PTR με FCrDNS και καμία blocklist. Φτιάξτε μια λίστα ενεργειών με σειρά και επαναλάβετε τον έλεγχο κάθε τρίμηνο.

Κουίζ

Άσκηση

Άσκηση Z8.4: Τελική άσκηση: το δικό σας domain. Συμπληρώστε το δικό σας domain (αν δεν έχετε, χρησιμοποιήστε το internet.nl ως παράδειγμα), το όνομα server που χρησιμοποιείτε στο πρόγραμμα email σας, τον/τους DKIM selector(s) που βρήκατε στις κεφαλίδες σας και τη διεύθυνση IP του server αποστολής σας. Συμπληρώστε ανά σημείο από το μέρος Α έως και Ε τι βρήκατε εσείς. Το πρόγραμμα κάνει κάθε επιμέρους έλεγχο μόνο του και τοποθετεί ανά σημείο πράσινο, πορτοκαλί ή κόκκινο δίπλα στην απάντησή σας, με σύνδεσμο προς το μάθημα. Στη συνέχεια γράφετε τη λίστα ενεργειών σας (το πολύ πέντε σημεία, με σειρά).

Άσκηση O8.4: Έλεγχος μέρους Στ. Απαντήστε στις πέντε ερωτήσεις του μέρους ΣΤ για τα δικά σας mailboxes και σημειώστε τι θα αλλάξετε.

Για περαιτέρω μελέτη

Τα βήματα σε αυτά τα άρθρα ισχύουν για τους πίνακες ελέγχου του WebOké· σε άλλους παρόχους λειτουργεί παρόμοια.

• Εγχειρίδιο WebOké 5.17: Υγεία domain και email: έλεγχος και επιδιόρθωση
• Εγχειρίδιο WebOké 6.7: Η κάρτα Ρύθμιση email (MX, SPF, DKIM, DMARC)
• Λίστα ελέγχου Internet.nl
• Ο ιστότοπος ή το email δεν λειτουργεί μετά από μετακόμιση ή αλλαγή DNS: ελέγξτε το domain σας
• Δωρεάν μάθημα DNS 8.5: Λίστα ελέγχου για το δικό σας domain
• Internet.nl, δοκιμάστε το email σας: https://internet.nl/test-mail/