Aliakset, uudelleenohjaus ja catch-all: käteviä, mutta riskialttiita

Moduuli 3: Sähköpostilaatikon hallinta · Lukuaika: 11 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat valita mailboxin, aliaksen, uudelleenohjauksen ja catch-allin välillä, ja selittää miksi uudelleenohjaus ulkoiseen osoitteeseen ja catch-all voivat heikentää postisi toimitettavuutta.

Keskeiset käsitteet: mailbox, alias, forwarder (uudelleenohjaus), sisäinen ja ulkoinen uudelleenohjaus, SPF rikkoutuu uudelleenohjauksessa, SRS (Sender Rewriting Scheme), DKIM uudelleenohjauksessa, ARC (RFC 8617), catch-all, sanakirjahyökkäys, backscatter, lähettäminen toisen osoitteen nimissä

Neljä tapaa saada osoite toimimaan

Jos haluat saada osoitteen offerte@example.com toimimaan, sinulla on neljä vaihtoehtoa:

Vaihtoehto	Mitä se on	Milloin kätevä
Mailbox	Oma tallennuspaikka omalla salasanalla. Voit kirjautua siihen sisään.	Joku käyttää sitä itse, tai postia pitää säilyttää erikseen.
Alias	Toinen nimi olemassa olevalle mailboxille. Osoitteeseen `offerte@` tuleva posti päätyy mailboxiin `info@`.	Yksi henkilö, useita osoitteita.
Forwarder (uudelleenohjaus)	Osoitteeseen tuleva posti ohjataan edelleen yhteen tai useampaan muuhun osoitteeseen. Mitään ei tallenneta.	Osoite, johon useamman kollegan pitää saada posti; vanha osoite, jonka pitää jatkaa toimintaa.
Catch-all	Kaikki posti osoitteisiin, jotka eivät ole olemassa, päätyy yhteen osoitteeseen.	Lähes ei koskaan (katso alla).

Joissain paneeleissa alias on teknisesti sama asia kuin uudelleenohjaus samalla palvelimella olevaan osoitteeseen. Oleellinen ero on tämä: pysyykö posti samalla palvelimella, vai lähteekö se ulos?

Uudelleenohjaus oman verkkotunnuksen sisällä: ei ongelmaa

Jos ohjaat osoitteen offerte@example.com osoitteeseen info@example.com, ja molemmat ovat samalla palvelimella, palvelin toimittaa postin suoraan mailboxiin info@. Mikään ei kulje internetin yli, mitään ei tarkisteta uudelleen. Tämä on turvallista ja luotettavaa.

Uudelleenohjaus ulos: tässä menee pieleen

Toisin on, jos ohjaat postin eteenpäin toisen osapuolen osoitteeseen, esimerkiksi yksityiseen Gmail- tai Outlook.com-osoitteeseen. Silloin palvelimesi lähettää postin uudelleen, nyt Gmailille. Ja Gmail tarkistaa postin ikään kuin se tulisi palvelimeltasi.

Oletetaan: klant@example.net lähettää postia osoitteeseen info@example.com. Palvelimesi ohjaa sen edelleen Gmailille. Mitä Gmail näkee?

Lähettäjä (From): klant@example.net.
Envelope-lähettäjä (envelope sender): edelleen klant@example.net, ellei palvelimesi kirjoita sitä uudelleen.
Lähettävä palvelin: palvelimesi, esimerkiksi 192.0.2.25.

Gmail tarkistaa verkkotunnuksen example.net SPF-tietueen. Palvelimesi ei tietenkään ole siinä. SPF epäonnistuu. Jos verkkotunnuksella example.net on DMARC-käytäntö p=reject, eikä postissa ole kelvollista DKIM-allekirjoitusta, Gmail hylkää postin. Palvelimesi saa bouncen takaisin, ja se menee... alkuperäiselle lähettäjälle, joka saa nyt virheilmoituksen sinun palvelimeltasi.

Kolme mekanismia lieventää tätä:

1. DKIM säilyy (yleensä)

DKIM-allekirjoitus (oppitunti 4.3) sijaitsee itse postissa. Jos palvelimesi ohjaa postin edelleen muuttamattomana, verkkotunnuksen example.net allekirjoitus pitää edelleen paikkansa. DMARC onnistuu silloin DKIM:n perusteella, vaikka SPF epäonnistuisi. Tästä syystä DKIM on niin tärkeä: se on ainoa asia, joka selviää uudelleenohjauksesta.

Mutta tämä menee pieleen, jos uudelleenohjaava palvelin muuttaa postia: lisää tekstiä alareunaan ("doorgestuurd door..."), muokkaa aihetta ([SPAM] eteen), tai muuttaa muotoilua. Silloin allekirjoitus ei enää täsmää.

2. SRS kirjoittaa envelope-lähettäjän uudelleen

SRS:n (Sender Rewriting Scheme) avulla uudelleenohjaava palvelin muuttaa envelope-lähettäjän osoitteeksi omalla verkkotunnuksellaan, esimerkiksi:

SRS0=HHH=TT=example.net=klant@example.com

Nyt Gmail tarkistaa verkkotunnuksen example.com SPF-tietueen, ja siellä palvelimesi todellakin on. SPF onnistuu. Jos tulee bounce, palvelimesi voi kääntää osoitteen takaisin ja lähettää bouncen oikealle lähettäjälle.

Huomaa: SRS ratkaisee SPF:n, mutta ei DMARC:ia. Kohdistus (alignment, oppitunti 4.4) vertaa envelope-lähettäjän verkkotunnusta From-osoitteeseen. Nyt se on example.com verrattuna example.net:iin: ei kohdistettu. DMARC:n täytyy siis edelleen onnistua DKIM:n perusteella.

3. ARC: välittäjän vakuutus

ARC (Authenticated Received Chain, RFC 8617, kokeellinen) antaa välittäjän tallentaa, mitä se näki: "kun tämä posti saapui minulle, SPF, DKIM ja DMARC onnistuivat". Uudelleenohjaava palvelin allekirjoittaa tämän vakuutuksen. Lopullinen vastaanottaja voi päättää luottaa vakuutukseen, jos se luottaa välittäjään. Suuret vastaanottajat kuten Gmail ja Microsoft käyttävät ARC:ia, mutta siihen ei voi luottaa varmasti: se on suosionosoitus, ei oikeus.

Entä roskaposti?

On vielä yksi ongelma, ja se on usein kaikkein suurin. Roskapostisuodattimesi ei pysäytä kaikkea. Kaiken roskapostin, joka pääsee läpi, palvelimesi ohjaa nyt edelleen Gmailille. Gmailille näyttää siltä, että palvelimesi lähettää roskapostia. Tämä murentaa palvelimesi maineen (ja jaetussa hostingissa kaikkien saman palvelimen asiakkaiden maineen). Sen jälkeen Gmail luokittelee myös oikean postisi herkemmin roskapostiksi.

Mikä on parempi vaihtoehto?

Haluatko lukea yrityksesi postia Gmail- tai Outlook-sovelluksessa? Lisää mailbox silloin IMAP-tilinä (moduuli 2). Sovellus hakee postin suoraan palvelimeltasi. Mitään ei ohjata edelleen, mikään tarkistus ei epäonnistu, eikä roskapostia lähde ulos. Jos uudelleenohjaus on silti välttämätön, aseta roskapostisuodatin tiukaksi ennen uudelleenohjausta.

Catch-all: miksi lähes ei koskaan

Catch-all napsii kaiken postin osoitteisiin, jotka eivät ole olemassa. Näppäilyvirhe kuten inof@example.com menee silloinkin perille. Tämä kuulostaa kätevältä, mutta:

Roskaposti. Roskapostittajat lähettävät massoittain postia keksittyihin osoitteisiin olemassa olevilla verkkotunnuksilla (a.jansen@, sales2@, xkq7@). Tätä kutsutaan sanakirjahyökkäykseksi. Ilman catch-allia palvelimesi hylkää kaiken tämän heti. Catch-allin kanssa kaikki pääsee sisään, usein satoja viestejä päivässä.
Ei enää virheilmoitusta. Joka kirjoittaa osoitteesi väärin, ei saa bouncea ja luulee postinsa saapuneen perille. Ilman catch-allia hän tietää heti, että osoite on väärin.
Uudelleenohjaus pahentaa tilannetta. Catch-all, joka ohjaa edelleen Gmailille, lähettää kaiken tuon roskapostin Gmailille.
Backscatter. Palvelin, joka ensin ottaa kaiken vastaan ja huomaa vasta myöhemmin, ettei osoitetta ole olemassa, lähettää bouncen (väärennetylle) lähettäjälle. Tätä kutsutaan backscatteriksi: virheilmoituksia viattomille ihmisille, ja syy päätyä blocklistille.

Haluatko napata muutaman ylimääräisen osoitteen, kuten yleisen näppäilyvirheen tai vanhan osoitteen? Tee niille erilliset aliakset tai uudelleenohjaukset. Käytätkö verkkosivustoa tai verkkokauppaa kohden omaa osoitetta (webshop-x@), nähdäksesi kuka myy osoitteesi eteenpäin? Luo tällöin osoite aliaksena sillä hetkellä, kun otat sen käyttöön.

Lähettäminen aliaksesta

Alias voi toimia myös lähettäjänä. Haluat esimerkiksi vastata osoitteesta offerte@example.com, vaikka olet kirjautunut sisään osoitteella info@. Tämä onnistuu, mutta:

Monet sähköpostipalvelimet tarkistavat nykyään, mikä lähettäjäosoite kuuluu mihinkin kirjautumiseen. Saat silloin lähettää vain omasta osoitteestasi ja aliaksista tai uudelleenohjauksista, jotka osoittavat mailboxiisi. Mielivaltainen muu osoite hylätään ("account can not send emails from ..."). Tämä suojaa väärinkäytöltä.
Sähköpostiohjelmassasi lisäät aliaksen ylimääräisenä identiteettinä (Thunderbird: Identiteettien hallinta; Apple Mail: ylimääräiset osoitteet tilin kohdalla, pilkuilla erotettuina; Outlook: Lähettäjä-kentän näyttäminen ja osoitteen kirjoittaminen).
SPF, DKIM ja DMARC toimivat normaalisti, kunhan alias on samalla verkkotunnuksella ja lähetät oman palvelimesi kautta.

Käytännössä: näin se näyttää paneelissa

DirectAdminissa luot uudelleenohjaukset kohdassa E-mail Manager, Forwarders. Catch-all löytyy kohdasta Advanced Features, Catch-All E-mail; siellä "catch-all pois käytöstä" on suositeltu asetus (posti olemattomiin osoitteisiin hylätään). Jos sinulla on vain verkkotunnus ilman pakettia, uudelleenohjaukset löytyvät Oma WebOké -palvelusta kohdasta Omat verkkotunnukset, Uudelleenohjaukset. Muissa paneeleissa (cPanel, Plesk, Microsoft 365, Google Workspace) on vastaavia osioita, joskus nimillä kuten "aliakset", "uudelleenohjaus" tai "ryhmät".

Yhteenveto

Alias tai uudelleenohjaus saman palvelimen sisällä on turvallista.
Uudelleenohjaus ulos rikkoo SPF:n. SRS korjaa SPF:n, mutta ei DMARC-kohdistusta; vain ehjä DKIM-allekirjoitus pelastaa postin, ja ARC voi auttaa.
Edelleenohjattu roskaposti vahingoittaa palvelimesi mainetta. Lue ulkoinen posti mieluummin IMAP:n kautta sovelluksessa.
Catch-all houkuttelee roskapostia, kätkee näppäilyvirheitä ja voi aiheuttaa backscatteria. Käytä erillisiä aliaksia.
Lähettäminen aliaksesta onnistuu, palvelimesi sääntöjen rajoissa.

Tietovisa

Tehtävä

Tehtävä O3.3: Osoitteidesi inventaario. Tee luettelo kaikista verkkotunnuksesi osoitteista: mailboxit, aliakset, uudelleenohjaukset ja onko catch-all päällä. Merkitse jokaisen uudelleenohjauksen kohdalle, pysyykö se oman verkkotunnuksesi sisällä vai meneekö ulos (Gmail, Outlook.com, toinen yritys). Vastaa sen jälkeen: minkä ulkoisen uudelleenohjauksen voisit korvata IMAP-tilillä sovelluksessa, ja onko päällä catch-all, jonka voisi sammuttaa? Täytä tarkistuslista.

Tehtävä O3.3: Osoitteidesi inventaario

Tämän tehtävän teet itse, kukaan ei tarkista sitä. Merkitse tekemäsi kohdat ja merkitse tehtävä tehdyksi.

Ei catch-all-osoitetta, tai tietoinen syy on kirjattu.
Jokaisella ulkoisella uudelleenohjauksella on syy, tai se on korvattu IMAP:lla sovelluksessa.
Roskapostisuodatin on käytössä ennen jokaista ulkoista uudelleenohjausta.
Osoitteet, joista lähetän (aliakset), on asetettu identiteetiksi sähköpostiohjelmassani.

Mitä osoitteita sinulla on (postilaatikko, alias, uudelleenohjaus, catch-all) ja minne ne menevät?

Minkä ulkoisen uudelleenohjauksen korvaat IMAP-tilillä sovelluksessa? Onko catch-all päällä, ja voiko sen sammuttaa?

Merkintäsi ja muistiinpanosi pysyvät vain tässä selaimessa, emme lähetä niitä minnekään. Jos olet kirjautunut sisään, tallennamme kohtaan Omat kurssit vain sen, että olet tehnyt tehtävän.

Lue lisää

Näiden artikkelien ohjeet pätevät WebOkén paneeleissa; muilla palveluntarjoajilla toiminta on vastaavaa.

Evästeet WebOkén sivustolla

Evästeasetukset

Välttämättömät

Markkinointi