Lista kontrolna: Państwa poczta e-mail w porządku

Moduł 8: Przeprowadzka i porządkowanie domeny · Czas czytania: 13 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili za pomocą stałej listy kontrolnej sprawdzić pocztę e-mail własnej domeny od początku do końca, wyjaśnić wynik i ułożyć listę działań we właściwej kolejności.

Kluczowe pojęcia: lista kontrolna, odbieranie (MX, serwer pocztowy, null MX), łączenie się (TLS, certyfikat, porty 993/465/587), wysyłanie (SPF, DKIM, DMARC), serwer wysyłający (PTR, FCrDNS, listy blokujące), szyfrowane dostarczanie (MTA-STS, TLS-RPT, DANE), skrzynki pocztowe i adresy, bezpieczeństwo, lista działań, okresowa konserwacja

Dlaczego stała kolejność?

W tym kursie widzieli Państwo wiele osobnych elementów. W praktyce są one ze sobą powiązane: polityka DMARC nie ma sensu, jeśli SPF jest nieprawidłowy, a dobrze skonfigurowany rekord SPF nie pomoże, jeśli MX wskazuje na nieistniejący serwer. Dlatego listę kontrolną przechodzą Państwo od dołu do góry łańcucha: najpierw czy poczta może dotrzeć, potem czy łączą się Państwo bezpiecznie, następnie czy wysyłanej poczcie można ufać, a dopiero potem doprecyzowanie.

Kurs DNS zawiera w lekcji 8.5 listę kontrolną dla całej domeny (rejestracja, serwery nazw, strona internetowa). Niniejsza lista kontrolna dotyczy wyłącznie poczty e-mail i omawia ją bardziej szczegółowo.

Przy każdym punkcie podano: co Państwo sprawdzają, jak (za pomocą narzędzia lub zapytania DNS) oraz kiedy wynik jest poprawny. W zadaniu końcowym program wykonuje te same kontrole automatycznie i zestawia wynik z tym, co Państwo znaleźli.

Część A: czy poczta może dotrzeć?

A1. Rekordy MX. Proszę sprawdzić MX <domena>. Dobrze, jeśli istnieje co najmniej jeden MX, a host z najniższą liczbą ma rekord A lub AAAA. MX wskazujący na nazwę bez adresu oznacza, że poczta nie dotrze.
Przypadek szczególny: 0 . to null MX (RFC 7505). Oznacza to „ta domena nie odbiera poczty”. Jest to prawidłowe dla domeny, która nigdy nie odbiera poczty, na przykład example.com, a nieprawidłowe dla Państwa domeny biznesowej.

A2. Serwer pocztowy odpowiada. Pierwszy host MX przyjmuje połączenia na porcie 25. W domu często nie mogą Państwo przetestować tego samodzielnie, ponieważ wielu dostawców internetu blokuje ruch wychodzący na porcie 25. Narzędzie online lub zadanie końcowe zrobi to za Państwa. Dobrze, jeśli serwer wysyła powitanie 220 i oferuje STARTTLS.

A3. Testowa wiadomość z zewnątrz. Proszę wysłać wiadomość z adresu spoza Państwa domeny. Czy dotarła, i czy nie trafiła do folderu spam?

Część B: czy można bezpiecznie się połączyć?

B1. IMAP na porcie 993 z nazwą serwera, której używają Państwo w programie pocztowym. Dobrze, jeśli połączenie TLS się powiedzie, certyfikat jest ważny, zawiera nazwę serwera i nie wygasa w ciągu 14 dni.

B2. SMTP do wysyłania: port 465 (bezpośredni TLS) i/lub 587 (STARTTLS). Dobrze, jeśli przynajmniej jedno z nich działa z ważnym certyfikatem dla nazwy serwera, a logowanie (AUTH) jest oferowane przez serwer dopiero po zaszyfrowaniu połączenia.

Jeśli pojawia się tu błąd, proszę najpierw sprawdzić, czy używają Państwo nazwy serwera swojego dostawcy, a nie własnej nazwy mail.<domena> bez certyfikatu (lekcja 2.1 i błąd 9 w lekcji 8.3).

Część C: czy wysyłanej poczcie można ufać?

C1. SPF. Proszę sprawdzić TXT <domena>. Dobrze, jeśli:

• istnieje dokładnie jeden rekord z v=spf1;
• kończy się na ~all lub -all (nigdy +all ani ?all); dla początkujących zalecane jest ~all, a -all wtedy, gdy mają Państwo pewność, że wszyscy nadawcy są uwzględnieni;
• rekurencyjne zliczanie zapytań (include, a, mx, ptr, exists, redirect, również w ramach każdego include) nie przekracza 10, a najwyżej 2 zapytania zwracają pusty wynik.

C2. DKIM. Dla każdego nadawcy (Państwa serwera pocztowego, Microsoft 365, usługi newslettera, sklepu internetowego) osobny selektor. Można go znaleźć w nagłówkach wiadomości od danego nadawcy (s= i d= w nagłówku DKIM-Signature, lekcja 1.5). Proszę sprawdzić TXT <selektor>._domainkey.<domena> (ewentualnie przez CNAME). Dobrze, jeśli istnieje niepusty p=, z kluczem o długości co najmniej 2048 bitów dla RSA (lub kluczem ed25519).

C3. DMARC. Proszę sprawdzić TXT _dmarc.<domena>. Dobrze, jeśli istnieje dokładnie jeden rekord z v=DMARC1, z prawidłowym p= (none, quarantine lub reject) i adresem do raportów (rua=mailto:...). Zalecana droga: proszę zacząć od p=none i czytać raporty; dopiero gdy wszyscy nadawcy są uwierzytelnieni zgodnie z zasadą dopasowania, proszę przejść do quarantine, a następnie do reject (lekcja 4.4). p=none bez adresu do raportów to zmarnowana szansa: wtedy niczego Państwo nie widzą.

C4. Dopasowanie (uwierzytelnianie) w praktyce. Proszę wysłać wiadomość od każdego nadawcy na własny adres Gmail lub Outlook.com i sprawdzić Authentication-Results: czy jest dmarc=pass?

Część D: serwer wysyłający

D1. Odwrotny DNS. Proszę znaleźć w nagłówkach wysłanej przez siebie wiadomości adres IP serwera, który przekazał wiadomość na zewnątrz (ostatnia linia Received pochodząca spoza Państwa własnego urządzenia, lekcja 1.5). Proszę sprawdzić rekord PTR (dig -x <ip>). Dobrze, jeśli istnieje nazwa, a ta nazwa wskazuje z powrotem na ten sam adres IP (FCrDNS, lekcja 5.1). Również serwery MX Państwa domeny powinny mieć poprawny rekord PTR.

D2. Listy blokujące. Proszę sprawdzić ten adres IP wysyłający (oraz adres IP serwera MX) na znanych listach blokujących. Dobrze, jeśli nie figuruje na żadnej z nich. Jeśli jednak figuruje: najpierw należy znaleźć i usunąć przyczynę, a dopiero potem wystąpić o usunięcie z listy (lekcja 5.2). Przy hostingu współdzielonym jest to zadanie dla Państwa dostawcy: proszę przekazać mu adres IP i treść błędu.

Część E: doprecyzowanie (opcjonalnie)

E1. MTA-STS i TLS-RPT. TXT _mta-sts.<domena> oraz TXT _smtp._tls.<domena>. Nieobowiązkowe. Jeśli mają Państwo MTA-STS, plik polityki na https://mta-sts.<domena>/.well-known/mta-sts.txt musi być dostępny i zgodny z Państwa MX (lekcja 5.4).

E2. DANE. Tylko jeśli Państwa domena i MX są podpisane za pomocą DNSSEC: rekordy TLSA na _25._tcp.<host-mx>. Zwykle zajmuje się tym dostawca poczty w ramach własnych serwerów MX.

Część F: skrzynki pocztowe, adresy i bezpieczeństwo

Tego nie sprawdzi za Państwa żaden program, ale jest to równie ważne:

• F1. Brak catch-all; tylko aliasy i przekierowania, których Państwo świadomie używają; brak przekierowania na Gmail lub inne adresy zewnętrzne (lekcja 3.3).
• F2. Żadna skrzynka pocztowa nie przekracza 80% swojego limitu (lekcja 3.2).
• F3. Wszyscy korzystają z IMAP, a nie z POP3 na wielu urządzeniach (lekcja 1.3).
• F4. Silne, unikalne hasła w menedżerze haseł; brak starych urządzeń ze starymi hasłami; brak nieznanych reguł przekierowań w skrzynkach pocztowych (lekcja 3.4).
• F5. Formularze na stronie internetowej wysyłają pocztę przez SMTP z Państwa własnym adresem jako From (lekcja 7.3); newslettery przez usługę z własnym DKIM (lekcja 7.1).

Od wyniku do listy działań

Po kontroli mają Państwo punkty zielone, pomarańczowe i czerwone. Proszę je realizować w następującej kolejności:

1. Czerwony w części A lub B: poczta nie dociera lub nie można nawiązać bezpiecznego połączenia. Należy to rozwiązać najpierw.
2. Czerwony w części C: SPF nieprawidłowy (dwa rekordy, ponad dziesięć zapytań), brak DKIM dla danego nadawcy, dwa rekordy DMARC. To decyduje o tym, czy Państwa poczta dotrze.
3. Czerwony w części D: brak PTR lub wpis na liście blokującej. Zwykle zadanie dla Państwa dostawcy.
4. Pomarańczowy: p=none bez raportów, ?all, klucz o długości 1024 bity, certyfikat, który wkrótce wygasa.
5. Część E i F: usprawnienia i konserwacja.

Następnie proszę zaplanować konserwację: co kwartał powtórzyć listę kontrolną, a zawsze po podłączeniu nowej usługi lub po przeprowadzce. Proszę co miesiąc czytać raporty DMARC albo skorzystać z usługi raportującej, która ostrzeże Państwa, gdy pojawi się nowe źródło.

W praktyce: narzędzia

Do kontroli mogą Państwo wykorzystać różne narzędzia. W WebOké są to na przykład bezpłatne E-mailcheck i Domein gezondheid (również dla domen spoza WebOké); niezależne narzędzia, takie jak test poczty internet.nl i MXToolbox, wykonują podobne kontrole. Żadne narzędzie nie widzi wszystkiego: selektor DKIM niemal zawsze trzeba podać samodzielnie, a adres IP serwera wysyłającego należy odczytać z własnych nagłówków.

Podsumowanie

• Proszę sprawdzać w kolejności łańcucha: odbieranie, łączenie się, zaufanie, serwer wysyłający, doprecyzowanie, zarządzanie.
• Odbieranie: MX z istniejącym hostem, null MX tylko dla domen bez poczty.
• Łączenie się: ważny certyfikat na 993 oraz 465/587 dla używanej nazwy serwera.
• Zaufanie: jeden SPF w granicach dziesięciu zapytań z ~all/-all, DKIM dla każdego nadawcy, jeden DMARC z rua, i dopasowanie potwierdzone w praktyce.
• Serwer wysyłający: PTR z FCrDNS i brak wpisów na listach blokujących. Proszę ułożyć listę działań w kolejności i powtarzać kontrolę co kwartał.

Quiz

Zadanie

Zadanie Z8.4: Zadanie końcowe: Państwa własna domena. Proszę wpisać własną domenę (jeśli jej Państwo nie mają, proszę użyć jako przykładu internet.nl), nazwę serwera, której używają Państwo w programie pocztowym, selektor(y) DKIM znalezione w nagłówkach oraz adres IP serwera wysyłającego. Przy każdym punkcie od części A do E proszę wpisać, co Państwo sami znaleźli. Program sam wykona każdą kontrolę cząstkową i przy każdym punkcie wyświetli kolor zielony, pomarańczowy lub czerwony obok Państwa odpowiedzi, wraz z odnośnikiem do lekcji. Na koniec proszę zapisać swoją listę działań (maksymalnie pięć punktów, w kolejności).

Zadanie O8.4: Sprawdzenie części F. Proszę odpowiedzieć na pięć pytań z części F dla własnych skrzynek pocztowych i zapisać, co Państwo zmienią.

Polecane materiały

Kroki w tych artykułach dotyczą paneli WebOké; u innych dostawców działa to w podobny sposób.

• Podręcznik WebOké 5.17: Kondycja domeny i poczty e-mail: sprawdzanie i naprawa
• Podręcznik WebOké 6.7: Karta Konfiguracja poczty e-mail (MX, SPF, DKIM, DMARC)
• Lista kontrolna Internet.nl
• Strona internetowa lub poczta e-mail nie działają po przeniesieniu lub zmianie DNS: prosimy sprawdzić Państwa domenę
• Bezpłatny kurs DNS 8.5: Lista kontrolna dla własnej domeny
• Internet.nl, test poczty: https://internet.nl/test-mail/