Tarkistuslista: sähköpostisi kuntoon

Moduuli 8: Muutto ja verkkotunnuksen kuntoon laittaminen · Lukuaika: 13 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat tarkistaa kiinteällä tarkistuslistalla oman domainisi sähköpostin alusta loppuun, selittää tuloksen ja laatia toimenpidelistan oikeassa järjestyksessä.

Keskeiset käsitteet: tarkistuslista, vastaanotto (MX, sähköpostipalvelin, null MX), yhteys (TLS, varmenne, portit 993/465/587), lähetys (SPF, DKIM, DMARC), lähetyspalvelin (PTR, FCrDNS, estolistat), salattu toimitus (MTA-STS, TLS-RPT, DANE), postilaatikot ja osoitteet, tietoturva, toimenpidelista, säännöllinen ylläpito

Miksi kiinteä järjestys?

Olet tällä kurssilla nähnyt monta erillistä osaa. Käytännössä ne liittyvät toisiinsa: DMARC-käytännöllä ei ole merkitystä, jos SPF on virheellinen, eikä kauniista SPF-tietueesta ole hyötyä, jos MX osoittaa palvelimeen, jota ei ole olemassa. Siksi käyt tarkistuslistan läpi alhaalta ylöspäin ketjussa: ensin sen, pääseekö posti perille, sitten sen, muodostatko turvallisen yhteyden, sitten sen, voiko lähettämääsi postiin luottaa, ja vasta sen jälkeen hienosäädön.

DNS-kurssin oppitunnilla 8.5 on tarkistuslista koko domainille (rekisteröinti, nimipalvelimet, verkkosivusto). Tämä tarkistuslista keskittyy syvemmin pelkästään sähköpostiin.

Jokaisen kohdan yhteydessä kerrotaan: mitä tarkistat, miten (työkalulla tai DNS-kyselyllä) ja milloin se on kunnossa. Lopputehtävässä ohjelma tekee samat tarkistukset automaattisesti ja asettaa tuloksen vierekkäin sen kanssa, mitä itse löysit.

Osa A: pääseekö posti perille?

A1. MX-tietueet. Kysy MX <domain>. Kunnossa, jos MX-tietueita on vähintään yksi ja pienimmän numeron saaneella koneella on A- tai AAAA-tietue. MX, joka osoittaa nimeen ilman osoitetta, tarkoittaa, että posti ei saavu perille.
Erikoistapaus: 0 . on null MX (RFC 7505). Se tarkoittaa "tämä domain ei vastaanota sähköpostia". Tämä on oikein domainille, joka ei koskaan vastaanota sähköpostia, kuten example.com, mutta väärin yrityksesi domainille.

A2. Sähköpostipalvelin vastaa. Ensimmäinen MX-kone ottaa vastaan yhteyksiä portissa 25. Kotoa et usein pysty testaamaan tätä itse, koska monet internetoperaattorit estävät lähtevän liikenteen portissa 25. Verkossa toimiva työkalu tai lopputehtävä tekee sen puolestasi. Kunnossa, jos palvelin antaa 220-tervehdyksen ja tarjoaa STARTTLS-toiminnon.

A3. Testiviesti ulkopuolelta. Lähetä viesti osoitteesta, joka on domainisi ulkopuolella. Saapuuko se perille, eikä roskapostikansioon?

Osa B: muodostatko turvallisen yhteyden?

B1. IMAP portissa 993 sillä palvelimen nimellä, jota käytät sähköpostiohjelmassasi. Kunnossa, jos TLS-yhteys onnistuu, varmenne on voimassa, palvelimen nimi on siinä mukana eikä varmenne vanhene 14 päivän sisällä.

B2. SMTP lähetystä varten: portti 465 (suora TLS) ja/tai 587 (STARTTLS). Kunnossa, jos vähintään toinen näistä toimii voimassa olevalla varmenteella palvelimen nimelle, ja palvelin tarjoaa kirjautumisen (AUTH) vasta sen jälkeen, kun yhteys on salattu.

Jos saat täällä virheen, tarkista ensin, käytätkö palveluntarjoajasi palvelimen nimeä etkä omaa mail.<domain>-nimeä ilman varmennetta (oppitunti 2.1 ja virhe 9 oppitunnilla 8.3).

Osa C: voiko lähettämääsi postiin luottaa?

C1. SPF. Kysy TXT <domain>. Kunnossa, jos:

• tietueita, joissa on v=spf1, on tarkalleen yksi;
• se päättyy merkintään ~all tai -all (ei koskaan +all tai ?all); aloittelijoille suositellaan ~all:ää, -all:ia kun olet varma, että kaikki lähettäjät on mukana;
• hakujen rekursiivinen laskenta (include, a, mx, ptr, exists, redirect, myös jokaisen include-määrityksen sisällä) ei ylitä lukua 10, ja enintään 2 hakua palauttaa tyhjän tuloksen.

C2. DKIM. Jokaista lähettäjää kohden (sähköpostipalvelimesi, Microsoft 365, uutiskirjepalvelusi, verkkokauppasi) oma selector. Löydät sen kyseisen lähettäjän viestin otsikkoriveiltä (s= ja d= kohdassa DKIM-Signature, oppitunti 1.5). Kysy TXT <selector>._domainkey.<domain> (mahdollisesti CNAME:n kautta). Kunnossa, jos siellä on ei-tyhjä p=-arvo, jossa on vähintään 2048 bitin avain RSA:lle (tai ed25519-avain).

C3. DMARC. Kysy TXT _dmarc.<domain>. Kunnossa, jos tietueita, joissa on v=DMARC1, on tarkalleen yksi, kelvollisella p=-arvolla (none, quarantine tai reject) ja raportointiosoitteella (rua=mailto:...). Suositus: aloita arvolla p=none ja lue raportit; vasta kun kaikki lähettäjät läpäisevät kohdistuksen, siirry arvoon quarantine ja sitten reject (oppitunti 4.4). p=none ilman raportointiosoitetta on hukattu mahdollisuus: silloin et näe mitään.

C4. Kohdistus käytännössä. Lähetä viesti jokaiselta lähettäjältä omaan Gmail- tai Outlook.com-osoitteeseesi ja lue Authentication-Results: saako se tuloksen dmarc=pass?

Osa D: lähetyspalvelin

D1. Reverse DNS. Etsi itse lähettämäsi viestin otsikkoriveiltä sen palvelimen IP-osoite, joka luovutti viestin ulkomaailmaan (alin Received-rivi, joka tulee oman laitteesi ulkopuolelta, oppitunti 1.5). Kysy PTR-tietue (dig -x <ip>). Kunnossa, jos siellä on nimi, ja se nimi osoittaa takaisin samaan IP-osoitteeseen (FCrDNS, oppitunti 5.1). Myös domainisi MX-palvelimilla pitäisi olla siisti PTR-tietue.

D2. Estolistat. Tarkistuta tuo lähetys-IP (ja MX:si IP) tunnetuilta estolistoilta. Kunnossa, jos sitä ei löydy mistään. Jos se löytyy: selvitä ensin syy ja korjaa se, ja vasta sitten poista estolistalta (oppitunti 5.2). Jaetussa hostingissa tämä on palveluntarjoajasi tehtävä: ilmoita sille IP-osoite ja virheilmoitus.

Osa E: hienosäätö (valinnainen)

E1. MTA-STS ja TLS-RPT. TXT _mta-sts.<domain> ja TXT _smtp._tls.<domain>. Ei pakollinen. Jos sinulla on MTA-STS käytössä, käytäntötiedoston pitää olla saatavilla osoitteessa https://mta-sts.<domain>/.well-known/mta-sts.txt ja vastata MX-tietuettasi (oppitunti 5.4).

E2. DANE. Vain jos domainisi ja MX on allekirjoitettu DNSSEC:illä: TLSA-tietueet osoitteessa _25._tcp.<mx-host>. Useimmiten sähköpostipalveluntarjoajasi hoitaa tämän oman MX:nsä osalta.

Osa F: postilaatikot, osoitteet ja tietoturva

Tätä ei mikään ohjelma pysty tarkistamaan puolestasi, mutta se kuuluu silti asiaan:

• F1. Ei catch-all-osoitetta; vain aliaksia ja uudelleenohjauksia, joita käytät tietoisesti; ei uudelleenohjausta Gmailiin tai muihin ulkoisiin osoitteisiin (oppitunti 3.3).
• F2. Yksikään postilaatikko ei ole yli 80 % kiintiöstään (oppitunti 3.2).
• F3. Kaikki käyttävät IMAP:ia, ei POP3:a useammalla laitteella (oppitunti 1.3).
• F4. Vahvat, yksilölliset salasanat salasananhallinnassa; ei vanhoja laitteita vanhoilla salasanoilla; ei tuntemattomia uudelleenohjaussääntöjä postilaatikoissa (oppitunti 3.4).
• F5. Verkkosivuston lomakkeet lähettävät SMTP:n kautta omalla osoitteellasi From-kenttänä (oppitunti 7.3); uutiskirjeet palvelun kautta, jolla on oma DKIM (oppitunti 7.1).

Tuloksesta toimenpidelistaan

Tarkistuksen jälkeen sinulla on vihreitä, oransseja ja punaisia kohtia. Käsittele ne tässä järjestyksessä:

1. Punainen osassa A tai B: posti ei saavu perille tai et pysty muodostamaan turvallista yhteyttä. Korjaa ensin tämä.
2. Punainen osassa C: SPF virheellinen (kaksi tietuetta, yli kymmenen hakua), DKIM puuttuu jonkin lähettäjän osalta, kaksi DMARC-tietuetta. Tämä ratkaisee, saapuuko postisi perille.
3. Punainen osassa D: PTR puuttuu tai esiintyy estolistalla. Yleensä palveluntarjoajasi tehtävä.
4. Oranssi: p=none ilman raportteja, ?all, 1024 bitin avain, varmenne, joka on vanhenemassa pian.
5. Osa E ja F: parannukset ja ylläpito.

Suunnittele sen jälkeen ylläpito: käy tarkistuslista läpi uudelleen joka neljännes, ja aina kun otat käyttöön uuden palvelun tai teet muuton. Lue DMARC-raporttisi kuukausittain, tai anna raportointipalvelun varoittaa sinua, kun uusi lähde ilmestyy.

Käytännössä: työkalut

Tarkistuksiin voit käyttää eri työkaluja. WebOkéssa näitä ovat esimerkiksi ilmainen Sähköpostitarkistus ja Domainin terveys (toimivat myös domaineille, jotka eivät ole WebOkén asiakkaita); riippumattomat työkalut kuten internet.nl:n sähköpostitesti ja MXToolbox tekevät vastaavia tarkistuksia. Mikään työkalu ei näe kaikkea: DKIM-selectorin joudut lähes aina itse antamaan, ja lähetys-IP:n saat omista otsikkorivestäsi.

Yhteenveto

• Tarkista ketjun järjestyksessä: perille saapuminen, yhteys, luotettavuus, lähetyspalvelin, hienosäätö, ylläpito.
• Perille saapuminen: MX, jonka kone todella on olemassa, null MX vain domaineille ilman sähköpostia.
• Yhteys: voimassa oleva varmenne porteissa 993 ja 465/587 käyttämällesi palvelimen nimelle.
• Luotettavuus: yksi SPF alle kymmenen haun rajassa merkinnällä ~all/-all, DKIM jokaiselle lähettäjälle, yksi DMARC-tietue, jossa on rua, sekä kohdistuksen toimivuus käytännössä.
• Lähetyspalvelin: PTR-tietue FCrDNS:n kanssa eikä estolistoja. Laadi toimenpidelista järjestyksessä ja toista tarkistus joka neljännes.

Tietovisa

Tehtävä

Tehtävä Z8.4: Loppu­tehtävä: oma verkkotunnuksesi. Syötä oma domainisi (jos sinulla ei ole, käytä esimerkkinä internet.nl-osoitetta), sähköpostiohjelmassasi käyttämäsi palvelimen nimi, otsikkoriveiltäsi löytämäsi DKIM-selector(it) ja lähetyspalvelimesi IP-osoite. Täytä jokaisen osan A-E kohdalle, mitä itse löysit. Ohjelma tekee jokaisen osatarkistuksen itse ja asettaa jokaisen kohdan viereen vihreän, oranssin tai punaisen merkinnän vastauksesi rinnalle, linkin kanssa kyseiseen oppituntiin. Sen jälkeen kirjoitat toimenpidelistasi (enintään viisi kohtaa, järjestyksessä).

Tehtävä O8.4: Osa F:n tarkistus. Vastaa osan F viiteen kysymykseen omien postilaatikoidesi osalta ja kirjoita muistiin, mitä aiot muuttaa.

Lue lisää

Näiden artikkeleiden vaiheet koskevat WebOkén hallintapaneeleita; muilla palveluntarjoajilla toiminta on vastaavaa.

• WebOké-käyttöopas 5.17: Verkkotunnuksen ja sähköpostin kunto: tarkistus ja korjaus
• WebOké-käyttöopas 6.7: Sähköpostiasetukset-kortti (MX, SPF, DKIM, DMARC)
• Internet.nl-tarkistuslista: saavuta 100 % verkkosivustollasi ja sähköpostissasi
• Verkkosivusto tai sähköposti ei toimi muuton tai DNS-muutoksen jälkeen: tarkista verkkotunnuksesi
• Ilmainen DNS-kurssi 8.5: Tarkistuslista omalle verkkotunnuksellesi
• Internet.nl, testaa sähköpostisi: https://internet.nl/test-mail/