Aliasi, preusmjeravanje i catch-all: korisno, ali s rizicima

Modul 3: Upravljanje Vašom mailbox · Vrijeme čitanja: 11 minuta

Cilj lekcije: Nakon ove lekcije moći ćete birati između mailbox, aliasa, preusmjeravanja (forwarder) i catch-all rješenja, te objasniti zašto preusmjeravanje prema vanjskoj adresi i catch-all mogu naštetiti dostavi Vaše pošte.

Ključni pojmovi: mailbox, alias, forwarder (preusmjeravanje), interno i eksterno preusmjeravanje, SPF se kvari kod preusmjeravanja, SRS (Sender Rewriting Scheme), DKIM kod preusmjeravanja, ARC (RFC 8617), catch-all, rječnički napad (dictionary attack), backscatter, slanje u ime druge adrese

Četiri načina da adresa funkcionira

Ako želite da offerte@example.com funkcionira, imate četiri mogućnosti:

U nekim panelima alias je tehnički isto što i forwarder prema adresi na istom serveru. Razlika koja je bitna je ova: ostaje li pošta na istom serveru, ili odlazi van?

Preusmjeravanje unutar vlastite domene: nema problema

Ako preusmjerite offerte@example.com na info@example.com, a oboje se nalazi na istom serveru, server jednostavno dostavlja poštu u mailbox info@. Ništa ne ide preko interneta, ništa se ponovno ne provjerava. To je sigurno i pouzdano.

Preusmjeravanje prema van: gdje nastaje problem

Drugačije je kad preusmjeravate prema adresi kod drugog pružatelja, primjerice privatnoj adresi na Gmail ili Outlook.com. Tada Vaš server ponovno šalje poštu, sada prema Gmailu. A Gmail provjerava poštu kao da dolazi s Vašeg servera.

Recimo: klant@example.net šalje poruku na info@example.com. Vaš server je preusmjerava prema Gmailu. Što Gmail vidi?

• Pošiljatelj (From): klant@example.net.
• Envelope pošiljatelj: i dalje klant@example.net, osim ako ga Vaš server ne prepiše.
• Server koji šalje: Vaš server, primjerice 192.0.2.25.

Gmail provjerava SPF zapis domene example.net. Tamo se, naravno, ne nalazi Vaš server. SPF ne uspijeva (fail). Ako example.net ima DMARC politiku p=reject, a na poruci nema valjanog DKIM potpisa, Gmail odbija poruku. Vaš server dobiva povratnu poruku o odbijanju (bounce), a ona odlazi... izvornom pošiljatelju, koji sada dobiva poruku o grešci s Vašeg servera.

Postoje tri mehanizma koji to ublažavaju:

1. DKIM obično preživi

DKIM potpis (lekcija 4.3) nalazi se unutar same poruke. Ako Vaš server poruku proslijedi nepromijenjenu, potpis domene example.net ostaje ispravan. DMARC tada uspijeva na temelju DKIM-a, čak i ako SPF ne uspije. Zato je DKIM toliko važan: to je jedino što preživi preusmjeravanje.

No problem nastaje kad server koji preusmjerava mijenja poruku: dodaje tekst na dnu ("proslijeđeno od..."), mijenja naslov (dodaje [SPAM] ispred), ili mijenja format. Tada potpis više nije ispravan.

2. SRS prepisuje envelope pošiljatelja

Pomoću SRS (Sender Rewriting Scheme) server koji preusmjerava mijenja envelope pošiljatelja u adresu na vlastitoj domeni, primjerice:

SRS0=HHH=TT=example.net=klant@example.com

Sada Gmail provjerava SPF zapis domene example.com, a tamo se Vaš server doista nalazi. SPF uspijeva. Ako dođe do povratne poruke (bounce), Vaš server može prevesti adresu natrag i proslijediti povratnu poruku stvarnom pošiljatelju.

Napomena: SRS rješava SPF, ali ne i DMARC. Usklađenost (alignment, lekcija 4.4) uspoređuje domenu envelope pošiljatelja s From adresom. Sada je to example.com naspram example.net: nema usklađenosti. DMARC stoga i dalje mora uspjeti putem DKIM-a.

3. ARC: izjava posrednika

ARC (Authenticated Received Chain, RFC 8617, eksperimentalno) omogućuje posredniku da zabilježi što je vidio: "kad je ova poruka stigla kod mene, SPF, DKIM i DMARC su uspjeli". Server koji preusmjerava potpisuje tu izjavu. Konačni primatelj može odlučiti vjerovati toj izjavi ako vjeruje posredniku. Veliki primatelji poput Gmaila i Microsofta koriste ARC, ali se na njega ne možete pouzdati: to je usluga, a ne pravo.

A spam?

Postoji još jedan problem, koji je često najveći. Vaš spam filter ne zaustavlja baš sve. Svu neželjenu poštu koja prođe, Vaš server sada prosljeđuje prema Gmailu. Gmailu se tada čini kao da Vaš server šalje spam. Time trpi reputacija Vašeg servera (a kod dijeljenog hostinga: reputacija svih klijenata na tom serveru). Gmail zatim i Vašu stvarnu poštu češće svrstava u spam.

Što je bolje?

Želite li poslovnu poštu čitati u Gmail ili Outlook aplikaciji? Dodajte mailbox kao IMAP račun (modul 2). Aplikacija dohvaća poštu izravno s Vašeg servera. Ništa se ne preusmjerava, ništa ne ne uspijeva, i nikakav spam ne odlazi van. Ako ipak morate preusmjeravati, postavite spam filter strogim prije preusmjeravanja.

Catch-all: zašto gotovo nikad

Catch-all hvata svu poštu upućenu na adrese koje ne postoje. Pogreška u tipkanju poput inof@example.com tada ipak stigne. To zvuči korisno, ali:

• Spam. Spameri masovno šalju poštu na izmišljene adrese na postojećim domenama (a.jansen@, sales2@, xkq7@). To se naziva rječnički napad (dictionary attack). Bez catch-all rješenja Vaš server sve to odmah odbija. S catch-all rješenjem sve stiže, često stotine dnevno.
• Nema više poruke o grešci. Tko pogriješi u Vašoj adresi, ne dobiva povratnu poruku (bounce) i misli da je njegova pošta stigla. Bez catch-all rješenja on odmah zna da adresa nije točna.
• Preusmjeravanje to pogoršava. Catch-all koji preusmjerava prema Gmailu, šalje sav taj spam prema Gmailu.
• Backscatter. Server koji prvo prihvati sve, a tek kasnije otkrije da adresa ne postoji, šalje povratnu poruku (bounce) na (lažiranu) adresu pošiljatelja. To se naziva backscatter: poruke o greškama nevinim ljudima, i razlog za uvrštenje na blokirajući popis (blocklist).

Želite li obuhvatiti nekoliko dodatnih adresa, poput česte pogreške u tipkanju ili stare adrese? Za to napravite zasebne aliase ili forwardere. Koristite li zasebnu adresu po web stranici ili web trgovini (webshop-x@), kako biste vidjeli tko prodaje dalje Vašu adresu? Tu adresu kreirajte kao alias u trenutku kad je počnete koristiti.

Slanje s aliasa

Alias može biti i pošiljatelj. Primjerice, želite odgovarati kao offerte@example.com dok ste prijavljeni kao info@. To je moguće, ali:

• Mnogi mail serveri danas provjeravaju koja adresa pošiljatelja pripada kojoj prijavi. Tada smijete slati samo s vlastite adrese i aliasa ili forwardera koji upućuju na Vašu mailbox. Bilo koja druga nasumična adresa bit će odbijena ("account can not send emails from ..."). To štiti od zloupotrebe.
• U programu za e-poštu alias dodajete kao dodatni identitet (Thunderbird: Upravljanje identitetima; Apple Mail: dodatne adrese u postavkama računa, odvojene zarezima; Outlook: prikaz polja From i ručni unos adrese).
• SPF, DKIM i DMARC funkcioniraju normalno, sve dok se alias nalazi na istoj domeni i šaljete putem vlastitog servera.

U praksi: kako to izgleda u panelu

U DirectAdmin preusmjeravanja kreirate u E-mail Manager, Forwarders. Catch-all se nalazi u Advanced Features, Catch-All E-mail; tamo je "isključi catch-all" preporučena postavka (pošta upućena na nepostojeće adrese bit će odbijena). Imate li samo naziv domene bez paketa, preusmjeravanja se nalaze u Moj WebOké pod Moje domene, Preusmjeravanja. Drugi paneli (cPanel, Plesk, Microsoft 365, Google Workspace) imaju slične dijelove, ponekad pod nazivima poput "aliasi", "preusmjeravanje" ili "grupe".

Sažetak

• Alias ili preusmjeravanje unutar istog servera je sigurno.
• Preusmjeravanje prema vani kvari SPF. SRS popravlja SPF, ali ne i DMARC usklađenost; samo netaknuti DKIM potpis spašava poruku, a ARC može pomoći.
• Proslijeđeni spam šteti reputaciji Vašeg servera. Vanjsku poštu radije čitajte putem IMAP-a u aplikaciji.
• Catch-all privlači spam, skriva pogreške u tipkanju i može uzrokovati backscatter. Koristite zasebne aliase.
• Slanje s aliasa moguće je, u skladu s pravilima Vašeg servera.

Kviz

Zadatak

Zadatak O3.3: Popis svojih adresa. Napravite popis svih adresa na Vašoj domeni: mailbox računa, aliasa, preusmjeravanja i je li uključen catch-all. Za svako preusmjeravanje zabilježite ostaje li unutar Vaše vlastite domene ili odlazi prema van (Gmail, Outlook.com, druga tvrtka). Zatim odgovorite: koje preusmjeravanje prema van možete zamijeniti IMAP računom u aplikaciji, i postoji li uključen catch-all koji se može isključiti? Ispunite checklistu.

Dodatno štivo

Koraci u ovim člancima vrijede za panele WebOké; kod drugih pružatelja usluga postupak je sličan.

• DirectAdmin priručnik 7.5: Forwarderi: preusmjeravanje e-pošte na drugu adresu
• DirectAdmin priručnik 7.6: Catch-All E-mail: pošta na nepostojeće adrese
• Prosljeđivanje e-pošte na drugu adresu (forwarders, catch-all se ne preporučuje)
• Slanje e-pošte s više aliasa, pogreška: Account xxx can not send emails from
• Priručnik za WebOké 5.9: Prosljeđivanje e-pošte i preusmjeravanja domena
• Besplatni DNS tečaj 4.3: SPF: tko smije slati poštu u ime Vaše domene?
• RFC 8617 (ARC), RFC 7208 dodatak D (SPF i posrednici poput onih koji preusmjeravaju)