Kontrolni popis: Vaša e-pošta u redu

Modul 8: Preseljenje i uređenje Vaše domene · Vrijeme čitanja: 13 minuta

Cilj učenja: Nakon ove lekcije moći ćete pomoću fiksnog kontrolnog popisa provjeriti e-poštu Vaše domene od početka do kraja, protumačiti rezultat i izraditi popis radnji pravim redoslijedom.

Ključni pojmovi: kontrolni popis, primanje (MX, mail server, null MX), povezivanje (TLS, certifikat, priključci 993/465/587), slanje (SPF, DKIM, DMARC), poslužitelj za slanje (PTR, FCrDNS, blocklists), šifrirana dostava (MTA-STS, TLS-RPT, DANE), mailbox i adrese, sigurnost, popis radnji, periodično održavanje

Zašto fiksni redoslijed?

U ovom ste tečaju vidjeli mnogo zasebnih dijelova. U praksi su oni međusobno povezani: DMARC pravilo nema smisla ako SPF nije valjan, a lijepo postavljen SPF zapis ne pomaže ako MX pokazuje na poslužitelj koji ne postoji. Zato kontrolni popis prolazite odozdo prema gore kroz lanac: prvo može li pošta uopće stići, zatim uspostavljate li sigurnu vezu, zatim je li Vaša poslana pošta pouzdana, a tek onda dolazi dorada.

Tečaj o DNS-u u lekciji 8.5 ima kontrolni popis za cijelu domenu (registracija, nameserveri, web stranica). Ovaj kontrolni popis detaljnije ulazi samo u e-poštu.

Za svaku točku navedeno je: što provjeravate, kako (alatom ili DNS upitom) i kada je u redu. U završnom zadatku program automatski provodi iste provjere i uspoređuje rezultat s onim što ste Vi pronašli.

Dio A: može li pošta stići?

A1. MX zapisi. Zatražite MX <domena>. U redu je ako postoji barem jedan MX, a poslužitelj s najnižim brojem ima A ili AAAA zapis. MX koji pokazuje na ime bez adrese znači da pošta ne stiže.
Poseban slučaj: 0 . je null MX (RFC 7505). To znači "ova domena ne prima poštu". To je u redu za domenu koja nikada ne prima poštu, poput example.com, a pogrešno za Vašu poslovnu domenu.

A2. Mail server odgovara. Prvi MX poslužitelj prihvaća veze na priključku 25. Kod kuće to često ne možete sami testirati jer mnogi davatelji internetskih usluga blokiraju odlazni promet na priključku 25. Mrežni alat ili završni zadatak to rade umjesto Vas. U redu je ako poslužitelj daje pozdrav 220 i nudi STARTTLS.

A3. Testna poruka izvana. Pošaljite poruku s adrese izvan Vaše domene. Stiže li, i ne u mapu neželjene pošte?

Dio B: možete li se sigurno povezati?

B1. IMAP na priključku 993 s nazivom poslužitelja koji koristite u svom programu za e-poštu. U redu je ako TLS veza uspijeva, certifikat je valjan, naziv poslužitelja je u njemu naveden i certifikat ne istječe unutar 14 dana.

B2. SMTP za slanje: priključak 465 (izravni TLS) i/ili 587 (STARTTLS). U redu je ako barem jedan od ta dva radi s valjanim certifikatom za naziv poslužitelja, a poslužitelj nudi prijavu (AUTH) tek nakon što je veza šifrirana.

Dobijete li ovdje grešku, prvo provjerite koristite li naziv poslužitelja Vašeg pružatelja usluge, a ne vlastiti mail.<domena> bez certifikata (lekcija 2.1 i greška 9 u lekciji 8.3).

Dio C: je li Vaša poslana pošta pouzdana?

C1. SPF. Zatražite TXT <domena>. U redu je ako:

• postoji točno jedan zapis s v=spf1;
• završava s ~all ili -all (nikada +all ili ?all); za početnike se preporučuje ~all, a -all ako ste sigurni da su svi pošiljatelji uključeni;
• rekurzivno brojanje pretraga (include, a, mx, ptr, exists, redirect, uključujući i unutar svakog include-a) ne prelazi 10, i najviše 2 pretrage vraćaju prazan rezultat.

C2. DKIM. Po jedan selektor za svakog pošiljatelja (Vaš mail server, Microsoft 365, Vaša usluga za newsletter, Vaša web trgovina). Pronalazite ga u zaglavljima poruke tog pošiljatelja (s= i d= u DKIM-Signature, lekcija 1.5). Zatražite TXT <selector>._domainkey.<domena> (eventualno putem CNAME zapisa). U redu je ako postoji neprazan p=, s ključem od 2048 bita ili više za RSA (ili ed25519 ključem).

C3. DMARC. Zatražite TXT _dmarc.<domena>. U redu je ako postoji točno jedan zapis s v=DMARC1, s valjanim p= (none, quarantine ili reject) i adresom za izvještaje (rua=mailto:...). Savjet za postupnost: počnite s p=none i čitajte izvještaje; tek kada su svi pošiljatelji usklađeni (alignment), prelazite na quarantine, a zatim na reject (lekcija 4.4). p=none bez adrese za izvještaje je propuštena prilika: tada ne vidite ništa.

C4. Usklađenost (alignment) u praksi. Pošaljite poruku svakog pošiljatelja na vlastitu Gmail ili Outlook.com adresu i pročitajte Authentication-Results: je li dmarc=pass?

Dio D: poslužitelj za slanje

D1. Reverse DNS. Pronađite u zaglavljima poruke koju ste sami poslali IP adresu poslužitelja koji je poruku predao vanjskom svijetu (donji redak Received koji dolazi izvan Vašeg vlastitog uređaja, lekcija 1.5). Zatražite PTR (dig -x <ip>). U redu je ako postoji naziv, i taj naziv ponovno pokazuje na isti IP (FCrDNS, lekcija 5.1). I MX poslužitelji Vaše domene trebaju imati uredan PTR.

D2. Blocklists. Provjerite taj IP za slanje (i IP Vašeg MX-a) na poznatim blocklistama. U redu je ako se nigdje ne nalazi. Ako se ipak nalazi: prvo pronaći i otkloniti uzrok, a tek onda zatražiti uklanjanje (delisting) (lekcija 5.2). Kod dijeljenog hostinga to je zadatak Vašeg pružatelja usluge: proslijedite IP adresu i poruku o grešci.

Dio E: dorada (neobavezno)

E1. MTA-STS i TLS-RPT. TXT _mta-sts.<domena> i TXT _smtp._tls.<domena>. Nije obavezno. Imate li MTA-STS, datoteka pravila mora biti dostupna na https://mta-sts.<domena>/.well-known/mta-sts.txt i mora odgovarati Vašem MX-u (lekcija 5.4).

E2. DANE. Samo ako su Vaša domena i MX potpisani DNSSEC-om: TLSA zapisi na _25._tcp.<mx-host>. Obično ovo za svoj MX uređuje Vaš pružatelj usluge e-pošte.

Dio F: mailboxi, adrese i sigurnost

Ovo program ne može provjeriti umjesto Vas, ali spada u kontrolni popis:

• F1. Nema catch-all adrese; samo aliasi i preusmjeravanja koje svjesno koristite; nema preusmjeravanja na Gmail ili druge vanjske adrese (lekcija 3.3).
• F2. Nijedan mailbox nije iznad 80% svoje kvote (lekcija 3.2).
• F3. Svi koriste IMAP, a ne POP3 na više uređaja (lekcija 1.3).
• F4. Jake, jedinstvene lozinke u upravitelju lozinki; nema starih uređaja sa starim lozinkama; nema nepoznatih pravila preusmjeravanja u mailboxima (lekcija 3.4).
• F5. Obrasci na web stranici šalju poštu putem SMTP-a s Vašom vlastitom adresom kao From (lekcija 7.3); newsletteri putem usluge s vlastitim DKIM-om (lekcija 7.1).

Od rezultata do popisa radnji

Nakon provjere imat ćete zelene, narančaste i crvene točke. Rješavajte ih ovim redoslijedom:

1. Crveno u dijelu A ili B: pošta ne stiže ili se ne možete sigurno povezati. Riješite to prvo.
2. Crveno u dijelu C: SPF nije valjan (dva zapisa, više od deset pretraga), DKIM nedostaje za pošiljatelja, dva DMARC zapisa. Ovo određuje stiže li Vaša pošta.
3. Crveno u dijelu D: nema PTR-a ili je adresa na blocklisti. Obično je to zadatak Vašeg pružatelja usluge.
4. Narančasto: p=none bez izvještaja, ?all, ključ od 1024 bita, certifikat koji uskoro istječe.
5. Dio E i F: poboljšanja i održavanje.

Zatim planirajte održavanje: svaki kvartal ponovno prođite kontrolni popis, i uvijek nakon povezivanja nove usluge ili preseljenja. Mjesečno čitajte svoje DMARC izvještaje, ili neka Vas usluga za izvještaje upozori kad se pojavi novi izvor.

U praksi: alati

Za ove provjere možete koristiti razne alate. Kod WebOké to su, primjerice, besplatni E-mail Check i Zdravlje domene (Domain health, dostupno i za domene koje nisu kod WebOké); neovisni alati poput e-mail testa na internet.nl i MXToolbox provode slične provjere. Nijedan alat ne vidi baš sve: DKIM selektor gotovo uvijek morate sami unijeti, a IP adresu poslužitelja za slanje dobivate iz vlastitih zaglavlja poruke.

Sažetak

• Provjeravajte redoslijedom lanca: primanje, povezivanje, povjerenje, poslužitelj za slanje, dorada, održavanje.
• Primanje: MX s postojećim poslužiteljem, null MX samo za domene bez pošte.
• Povezivanje: valjan certifikat na 993 i 465/587 za naziv poslužitelja koji koristite.
• Povjerenje: jedan SPF unutar deset pretraga s ~all/-all, DKIM po pošiljatelju, jedan DMARC s rua, i usklađenost (alignment) u praksi.
• Poslužitelj za slanje: PTR s FCrDNS-om i bez blocklista. Izradite popis radnji po redoslijedu i ponovite provjeru svaki kvartal.

Kviz

Zadatak

Zadatak Z8.4: Završni zadatak: Vaša vlastita domena. Unesite svoju vlastitu domenu (ako je nemate, koristite internet.nl kao primjer), naziv poslužitelja koji koristite u svom programu za e-poštu, DKIM selektor(e) koje ste pronašli u zaglavljima i IP adresu Vašeg poslužitelja za slanje. Za svaku točku od dijela A do E unesite ono što ste sami pronašli. Program sam provodi svaku pojedinačnu provjeru i uz svaku točku prikazuje zeleno, narančasto ili crveno pored Vašeg odgovora, s poveznicom na lekciju. Nakon toga napišite svoj popis radnji (najviše pet točaka, po redoslijedu).

Zadatak O8.4: Provjera dijela F. Odgovorite na pet pitanja iz dijela F za svoje vlastite mailboxove i zabilježite što ćete promijeniti.

Dodatno štivo

Koraci u ovim člancima vrijede za kontrolne ploče WebOké; kod drugih pružatelja usluga postupak je sličan.

• Priručnik za WebOké 5.17: Zdravlje domene i e-pošte: provjera i popravak
• Priručnik za WebOké 6.7: Kartica Postavljanje e-pošte (MX, SPF, DKIM, DMARC)
• Internet.nl kontrolni popis: ostvarite 100% s Vašom web stranicom i e-poštom
• Web stranica ili e-pošta ne rade nakon preseljenja ili izmjene DNS-a: provjerite svoju domenu
• Besplatni DNS tečaj 8.5: Kontrolni popis za vlastitu domenu
• Internet.nl, testirajte svoju e-poštu: https://internet.nl/test-mail/