Aliasy, přeposílání a catch-all: užitečné, ale s riziky

Modul 3: Správa vaší schránky · Doba čtení: 11 minut

Cíl lekce: Po této lekci dokážete zvolit mezi e-mailovou schránkou, aliasem, přesměrováním a catch-all adresou a vysvětlit, proč přeposílání na externí adresu a catch-all mohou poškodit doručování Vaší pošty.

Klíčové pojmy: e-mailová schránka, alias, forwarder (přeposílání), interní a externí přeposílání, SPF selhává při přeposílání, SRS (Sender Rewriting Scheme), DKIM při přeposílání, ARC (RFC 8617), catch-all, slovníkový útok, backscatter, odesílání jménem jiné adresy

Čtyři způsoby, jak nechat adresu fungovat

Pokud chcete, aby fungovala adresa offerte@example.com, máte čtyři možnosti:

V některých panelech je alias technicky totéž co přeposílání na adresu na stejném serveru. Rozdíl, na kterém opravdu záleží, je tento: zůstává pošta na stejném serveru, nebo odchází ven?

Přeposílání v rámci vlastní domény: žádný problém

Pokud přeposíláte offerte@example.com na info@example.com a obě adresy jsou na stejném serveru, server poštu jednoduše doručí do schránky info@. Nic nejde přes internet, nic se znovu nekontroluje. To je bezpečné a spolehlivé.

Přeposílání ven: kde to vázne

Jinak je to, když přeposíláte na adresu u jiného poskytovatele, například na soukromou adresu u Gmail nebo Outlook.com. Tehdy Váš server poštu odešle znovu, tentokrát na Gmail. A Gmail poštu zkontroluje, jako by pocházela z Vašeho serveru.

Představte si: klant@example.net odešle poštu na info@example.com. Váš server ji přepošle na Gmail. Co vidí Gmail?

• Odesílatel (From): klant@example.net.
• Envelope odesílatel: stále klant@example.net, pokud ho Váš server nepřepíše.
• Odesílající server: Váš server, například 192.0.2.25.

Gmail se podívá do SPF záznamu domény example.net. Váš server tam samozřejmě není uveden. SPF selže. Pokud má example.net DMARC politiku p=reject a pošta nemá platný DKIM podpis, Gmail poštu odmítne. Váš server dostane zpět bounce, a ten jde na... původního odesílatele, který teď dostane chybové hlášení z Vašeho serveru.

Existují tři mechanismy, které toto zmírňují:

1. DKIM přežije (většinou)

DKIM podpis (lekce 4.3) je součástí samotné zprávy. Pokud Váš server poštu přepošle beze změny, podpis domény example.net stále sedí. DMARC pak uspěje na základě DKIM, i když SPF selže. Proto je DKIM tak důležitý: je to jediná věc, která přeposílání přežije.

Problém ale nastane, pokud přeposílající server zprávu změní: přidá text na konec ("přeposláno uživatelem..."), upraví předmět (přidá [SPAM]) nebo převede formátování. Pak už podpis nesedí.

2. SRS přepisuje envelope odesílatele

Pomocí SRS (Sender Rewriting Scheme) přeposílající server změní envelope odesílatele na adresu ve vlastní doméně, například:

SRS0=HHH=TT=example.net=klant@example.com

Gmail se teď podívá do SPF záznamu domény example.com, a tam už Váš server uvedený je. SPF uspěje. Pokud přijde bounce, Váš server umí adresu přeložit zpět a bounce poslat skutečnému odesílateli.

Pozor: SRS vyřeší SPF, ale ne DMARC. Shoda (alignment, lekce 4.4) porovnává doménu envelope odesílatele s adresou From. Teď je to example.com proti example.net: neshoduje se. DMARC tedy stále musí uspět na základě DKIM.

3. ARC: prohlášení prostředníka

ARC (Authenticated Received Chain, RFC 8617, experimentální) umožňuje prostředníkovi zaznamenat, co viděl: "když ke mně tato zpráva dorazila, SPF, DKIM i DMARC uspěly". Přeposílající server toto prohlášení podepíše. Konečný příjemce se může rozhodnout tomuto prohlášení věřit, pokud prostředníkovi důvěřuje. Velcí příjemci jako Gmail a Microsoft ARC používají, ale nelze se na to spoléhat: je to laskavost, ne nárok.

A co spam?

Je tu ještě jeden problém, a ten bývá často největší. Váš antispamový filtr nezachytí vše. Veškerý spam, který jím projde, Váš server teď přepošle na Gmail. Pro Gmail to vypadá, jako by Váš server rozesílal spam. Tím utrpí reputace Vašeho serveru (a u sdíleného hostingu i reputace všech klientů na daném serveru). Gmail pak Vaši skutečnou poštu snadněji zařadí do spamu.

Co je lepší?

Chcete číst firemní poštu v aplikaci Gmail nebo Outlook? Přidejte schránku jako IMAP účet (modul 2). Aplikace si poštu stáhne přímo z Vašeho serveru. Nic se nepřeposílá, nic neselže a žádný spam neodchází ven. Pokud přeposílání opravdu potřebujete, nastavte přísný antispamový filtr před přeposláním.

Catch-all: proč téměř nikdy

Catch-all zachytává veškerou poštu na neexistující adresy. Překlep jako inof@example.com tak přesto dorazí. Zní to užitečně, ale:

• Spam. Spammeři hromadně posílají poštu na vymyšlené adresy na existujících doménách (a.jansen@, sales2@, xkq7@). Tomu se říká slovníkový útok. Bez catch-all Váš server toto vše okamžitě odmítne. S catch-all přijde všechno, často stovky zpráv denně.
• Žádné chybové hlášení. Kdo se splete v adrese, nedostane bounce a bude si myslet, že jeho zpráva dorazila. Bez catch-all se hned dozví, že adresa není správná.
• Přeposílání to zhoršuje. Catch-all, který přeposílá na Gmail, posílá na Gmail i všechen ten spam.
• Backscatter. Server, který nejprve přijme vše a teprve později zjistí, že adresa neexistuje, pošle bounce na (podvrženého) odesílatele. Tomu se říká backscatter: chybová hlášení nevinným lidem, a důvod k zařazení na blokovací seznam.

Chcete zachytit jen pár dalších adres, třeba častý překlep nebo starou adresu? Vytvořte pro ně samostatné aliasy nebo přeposílání. Používáte pro každý web nebo e-shop vlastní adresu (webshop-x@), abyste zjistili, kdo Vaši adresu prodává dál? Vytvořte danou adresu jako alias ve chvíli, kdy ji začnete používat.

Odesílání z aliasu

Alias může být i odesílatelem. Chcete například odpovídat jako offerte@example.com, zatímco jste přihlášeni jako info@. To jde, ale:

• Mnoho mailových serverů dnes kontroluje, která odesílací adresa patří ke kterému přihlášení. Smíte tedy odesílat pouze z vlastní adresy a z aliasů nebo přeposílání, které směřují do Vaší schránky. Libovolná jiná adresa bude odmítnuta ("account can not send emails from ..."). To chrání před zneužitím.
• Ve Vašem e-mailovém programu přidáte alias jako další identitu (Thunderbird: Spravovat identity; Apple Mail: další adresy u účtu, oddělené čárkami; Outlook: zobrazit pole Od a adresu napsat ručně).
• SPF, DKIM a DMARC fungují normálně, pokud alias patří ke stejné doméně a odesíláte přes vlastní server.

V praxi: jak to vypadá v panelu

V DirectAdmin vytváříte přeposílání v sekci Správce e-mailů, Přeposílače. Catch-all najdete v Pokročilých funkcích, E-mail doménového koše; doporučeným nastavením je "vypnout catch-all" (pošta na neexistující adresy se odmítne). Máte-li pouze doménu bez balíčku, přeposílání najdete v Můj WebOké v sekci Moje domény, Přeposílání. Jiné panely (cPanel, Plesk, Microsoft 365, Google Workspace) mají podobné funkce, někdy pod názvy jako "aliasy", "přeposílání" nebo "skupiny".

Shrnutí

• Alias nebo přeposílání v rámci stejného serveru je bezpečné.
• Přeposílání ven poruší SPF. SRS SPF opraví, ale ne DMARC shodu (alignment); zprávu zachrání jen neporušený DKIM podpis, a pomoci může i ARC.
• Přeposlaný spam škodí reputaci Vašeho serveru. Externí poštu raději čtěte přes IMAP v aplikaci.
• Catch-all přitahuje spam, skrývá překlepy a může způsobit backscatter. Používejte samostatné aliasy.
• Odesílání z aliasu je možné, v rámci pravidel Vašeho serveru.

Kvíz

Úkol

Úkol O3.3: Inventura Vašich adres. Vytvořte seznam všech adres na Vaší doméně: schránky, aliasy, přeposílání a zda je zapnutý catch-all. U každého přeposílání uveďte, zda zůstává v rámci Vaší vlastní domény, nebo jde ven (Gmail, Outlook.com, jiná firma). Poté odpovězte: které přeposílání ven lze nahradit IMAP účtem v aplikaci, a je zapnutý catch-all, který by šlo vypnout? Vyplňte kontrolní seznam.

Doporučená literatura

Kroky v těchto článcích platí pro panely WebOké; u jiných poskytovatelů to funguje podobně.

• Příručka k DirectAdmin 7.5: Přeposílače: přeposílání e-mailů na jinou adresu
• Příručka k DirectAdmin 7.6: E-mail doménového koše: pošta na neexistující adresy
• Přesměrování e-mailu na jinou adresu (přesměrování, catch-all se nedoporučuje)
• Odesílání z více aliasů, chyba: Account xxx can not send emails from
• Příručka WebOké 5.9: Přeposílání e-mailů a přesměrování domén
• Bezplatný kurz DNS 4.3: SPF: kdo smí odesílat poštu jménem Vaší domény?
• RFC 8617 (ARC), RFC 7208 příloha D (SPF a prostředníci jako přeposílatelé)