Kontrolní seznam: vaše e-mailová pošta v pořádku

Modul 8: Stěhování a váš doménu v pořádku · Doba čtení: 13 minut

Cíl lekce: Po této lekci dokážete pomocí pevného kontrolního seznamu zkontrolovat e-mail vaší vlastní domény od začátku do konce, vysvětlit výsledek a sestavit akční seznam ve správném pořadí.

Klíčové pojmy: kontrolní seznam, příjem (MX, mailový server, null MX), připojení (TLS, certifikát, porty 993/465/587), odesílání (SPF, DKIM, DMARC), odesílací server (PTR, FCrDNS, blocklisty), šifrované doručování (MTA-STS, TLS-RPT, DANE), schránky a adresy, zabezpečení, akční seznam, pravidelná údržba

Proč pevné pořadí?

V tomto kurzu jste viděli mnoho jednotlivých částí. V praxi na sebe navazují: DMARC politika nemá smysl, pokud je SPF neplatné, a pěkný SPF záznam nepomůže, pokud MX ukazuje na server, který neexistuje. Proto procházíte kontrolní seznam zdola nahoru v řetězci: nejprve zda může pošta vůbec dorazit, pak zda se připojujete bezpečně, pak zda je vaší odeslané poště možné důvěřovat, a až poté doladění.

Kurz o DNS má v lekci 8.5 kontrolní seznam pro celou doménu (registrace, nameservery, web). Tento kontrolní seznam jde hlouběji, ale pouze pro e-mail.

U každého bodu je uvedeno: co kontrolujete, jak (pomocí nástroje nebo DNS dotazu) a kdy je to v pořádku. V závěrečném úkolu provede program stejné kontroly automaticky a porovná výsledek s tím, co jste zjistili vy.

Část A: může pošta dorazit?

A1. MX záznamy. Vyžádejte si MX <doména>. V pořádku je, pokud existuje alespoň jeden MX a hostitel s nejnižším číslem má A nebo AAAA záznam. MX směřující na jméno bez adresy znamená, že pošta nedorazí.
Zvláštní případ: 0 . je null MX (RFC 7505). To znamená "tato doména nepřijímá poštu". To je v pořádku pro doménu, která nikdy nepřijímá poštu, jako je example.com, a chyba pro vaši firemní doménu.

A2. Mailový server odpovídá. První MX hostitel přijímá spojení na portu 25. Doma to často nemůžete sami otestovat, protože mnoho poskytovatelů internetu blokuje odchozí provoz na portu 25. Online nástroj nebo závěrečný úkol to udělá za vás. V pořádku je, pokud server odpoví pozdravem 220 a nabídne STARTTLS.

A3. Testovací e-mail zvenčí. Pošlete e-mail z adresy mimo vaši doménu. Dorazí, a ne do složky se spamem?

Část B: dokážete se bezpečně připojit?

B1. IMAP na portu 993 se jménem serveru, které používáte ve svém poštovním programu. V pořádku je, pokud se TLS spojení podaří, certifikát je platný, obsahuje jméno serveru a certifikát nevyprší do 14 dnů.

B2. SMTP pro odesílání: port 465 (přímé TLS) a/nebo 587 (STARTTLS). V pořádku je, pokud funguje alespoň jeden z obou s platným certifikátem pro jméno serveru a server nabídne přihlášení (AUTH) až poté, co je spojení zašifrováno.

Pokud zde dostanete chybu, zkontrolujte nejprve, zda používáte jméno serveru svého poskytovatele a ne vlastní mail.<doména> bez certifikátu (lekce 2.1 a chyba 9 v lekci 8.3).

Část C: je vaší odeslané poště možné důvěřovat?

C1. SPF. Vyžádejte si TXT <doména>. V pořádku je, pokud:

• existuje přesně jeden záznam s v=spf1;
• končí na ~all nebo -all (nikdy +all nebo ?all); pro začátečníky je doporučením ~all, -all pokud máte jistotu, že jsou v záznamu všichni odesílatelé;
• rekurzivní počet vyhledávání (include, a, mx, ptr, exists, redirect, i uvnitř každého include) nepřekročí 10, a nejvýše 2 vyhledávání se vrátí prázdná.

C2. DKIM. Pro každého odesílatele (váš mailový server, Microsoft 365, vaše služba pro newslettery, váš e-shop) jeden selector. Najdete ho v hlavičkách e-mailu od tohoto odesílatele (s= a d= v DKIM-Signature, lekce 1.5). Vyžádejte si TXT <selector>._domainkey.<doména> (případně přes CNAME). V pořádku je, pokud je uveden neprázdný p=, s klíčem o délce 2048 bitů nebo více pro RSA (nebo klíč ed25519).

C3. DMARC. Vyžádejte si TXT _dmarc.<doména>. V pořádku je, pokud existuje přesně jeden záznam s v=DMARC1, s platným p= (none, quarantine nebo reject) a adresou pro reporty (rua=mailto:...). Doporučený postup: začněte s p=none a čtěte reporty; teprve až jsou všichni odesílatelé zarovnaní (aligned), přejděte na quarantine a poté reject (lekce 4.4). p=none bez adresy pro reporty je promarněná příležitost: pak nevidíte nic.

C4. Zarovnání (alignment) v praxi. Pošlete e-mail od každého odesílatele na vlastní Gmail nebo Outlook.com adresu a přečtěte si Authentication-Results: dmarc=pass?

Část D: odesílací server

D1. Reverzní DNS. V hlavičkách e-mailu, který jste sami odeslali, najděte IP adresu serveru, který předal e-mail vnějšímu světu (nejspodnější řádek Received, který pochází zvenčí vašeho vlastního zařízení, lekce 1.5). Vyžádejte si PTR (dig -x <ip>). V pořádku je, pokud existuje jméno a toto jméno zase ukazuje zpět na stejnou IP adresu (FCrDNS, lekce 5.1). I MX servery vaší domény by měly mít řádný PTR.

D2. Blocklisty. Nechte zkontrolovat tuto odesílací IP adresu (a IP adresu vašeho MX) na známých blocklistech. V pořádku je, pokud se nikde nenachází. Pokud se tam nachází: nejprve najít a vyřešit příčinu, teprve pak delisting (lekce 5.2). U sdíleného hostingu je to úkol pro vašeho poskytovatele: předejte mu IP adresu a chybové hlášení.

Část E: doladění (volitelné)

E1. MTA-STS a TLS-RPT. TXT _mta-sts.<doména> a TXT _smtp._tls.<doména>. Není povinné. Pokud máte MTA-STS, musí být soubor s politikou dostupný na https://mta-sts.<doména>/.well-known/mta-sts.txt a odpovídat vašemu MX (lekce 5.4).

E2. DANE. Pouze pokud jsou vaše doména a MX podepsány pomocí DNSSEC: TLSA záznamy na _25._tcp.<mx-host>. Většinou to za vás u svého MX zařídí váš poskytovatel e-mailu.

Část F: schránky, adresy a zabezpečení

Toto za vás žádný program nezkontroluje, ale přesto to k tomu patří:

• F1. Žádný catch-all; pouze aliasy a přesměrování, která vědomě používáte; žádné přesměrování na Gmail nebo jiné externí adresy (lekce 3.3).
• F2. Žádná schránka nad 80 % své kvóty (lekce 3.2).
• F3. Všichni pracují s IMAP, ne s POP3 na více zařízeních (lekce 1.3).
• F4. Silná, jedinečná hesla ve správci hesel; žádná stará zařízení se starými hesly; žádná neznámá pravidla pro přesměrování ve schránkách (lekce 3.4).
• F5. Webové formuláře odesílají poštu přes SMTP s vaší vlastní adresou jako From (lekce 7.3); newslettery přes službu s vlastním DKIM (lekce 7.1).

Od výsledku k akčnímu seznamu

Po kontrole máte zelené, oranžové a červené body. Zpracujte je v tomto pořadí:

1. Červená v části A nebo B: pošta nedorazí nebo se nemůžete bezpečně připojit. Nejprve vyřešit.
2. Červená v části C: neplatné SPF (dva záznamy, více než deset vyhledávání), chybějící DKIM pro odesílatele, dva DMARC záznamy. To určuje, zda vaše pošta dorazí.
3. Červená v části D: žádný PTR nebo zápis na blocklistu. Většinou úkol pro vašeho poskytovatele.
4. Oranžová: p=none bez reportů, ?all, klíč o délce 1024 bitů, certifikát, který brzy vyprší.
5. Část E a F: vylepšení a údržba.

Poté naplánujte údržbu: každé čtvrtletí kontrolní seznam znovu projít, a vždy po připojení nové služby nebo po stěhování. Čtěte měsíčně své DMARC reporty, nebo si nechte od reportovací služby zasílat upozornění, pokud se objeví nový zdroj.

V praxi: nástroje

Pro kontroly můžete použít různé nástroje. U WebOké jsou to například bezplatné E-mailcheck a Zdraví domény (i pro domény, které nejsou u WebOké); nezávislé nástroje jako e-mailový test internet.nl a MXToolbox provádějí podobné kontroly. Žádný nástroj nevidí úplně vše: DKIM selector musíte téměř vždy zadat sami, a odesílací IP adresu zjistíte z vlastních hlaviček.

Shrnutí

• Kontrolujte v pořadí řetězce: příjem, připojení, důvěryhodnost, odesílací server, doladění, správa.
• Příjem: MX s existujícím hostitelem, null MX pouze pro domény bez pošty.
• Připojení: platný certifikát na portu 993 a 465/587 pro jméno serveru, které používáte.
• Důvěryhodnost: jedno SPF v rámci deseti vyhledávání s ~all/-all, DKIM pro každého odesílatele, jedno DMARC s rua a zarovnání (alignment) v praxi.
• Odesílací server: PTR s FCrDNS a žádné blocklisty. Sestavte akční seznam v pořadí a opakujte kontrolu každé čtvrtletí.

Kvíz

Úkol

Úkol Z8.4: Závěrečný úkol: Vaše vlastní doména. Zadejte svou vlastní doménu (pokud žádnou nemáte, použijte jako příklad internet.nl), jméno serveru, které používáte ve svém poštovním programu, DKIM selector(y), které jste našli ve svých hlavičkách, a IP adresu svého odesílacího serveru. U každého bodu z části A až E zapište, co jste sami zjistili. Program provede každou dílčí kontrolu sám a u každého bodu zobrazí zelenou, oranžovou nebo červenou vedle vaší odpovědi, s odkazem na příslušnou lekci. Poté napište svůj akční seznam (maximálně pět bodů, v pořadí).

Úkol O8.4: Kontrola části F. Odpovězte na pět otázek z části F pro vaše vlastní schránky a zapište si, co hodláte změnit.

Další čtení

Kroky v těchto článcích platí pro panely WebOké; u jiných poskytovatelů to funguje podobně.

• Příručka WebOké 5.17: Zdraví domény a e-mailu: kontrola a náprava
• Příručka WebOké 6.7: Karta Nastavení e-mailu (MX, SPF, DKIM, DMARC)
• Kontrolní seznam Internet.nl
• Web nebo e-mail nefunguje po přesunu nebo změně DNS: zkontrolujte svou doménu
• Bezplatný kurz DNS 8.5: Kontrolní seznam pro Vaši vlastní doménu
• Internet.nl, otestujte svůj e-mail: https://internet.nl/test-mail/