Modul 8 · 8.4

Magyar

Nederlands English Deutsch Français Español Italiano Polski Română Čeština Ελληνικά Magyar Slovenčina Български

Ellenőrzőlista: az e-mail rendbetétele

Modul 8: Költözés és a domain rendbetétele · Olvasási idő: 13 perc

Tanulási cél: E lecke után egy rögzített ellenőrzőlista segítségével végig tudja ellenőrizni a saját domainjéhez tartozó e-mailt az elejétől a végéig, meg tudja magyarázni az eredményt, és helyes sorrendben össze tud állítani egy feladatlistát.

Kulcsfogalmak: ellenőrzőlista, fogadás (MX, levelezőszerver, null MX), kapcsolódás (TLS, tanúsítvány, 993/465/587 portok), küldés (SPF, DKIM, DMARC), a küldő szerver (PTR, FCrDNS, letiltólisták), titkosított kézbesítés (MTA-STS, TLS-RPT, DANE), postafiókok és címek, biztonság, feladatlista, rendszeres karbantartás

Miért kell rögzített sorrendet követni?

Ebben a kurzusban sok különálló elemet látott már. A gyakorlatban ezek összefüggenek egymással: egy DMARC-szabályzatnak nincs értelme, ha az SPF érvénytelen, és egy szép SPF-rekord sem segít, ha az MX egy nem létező szerverre mutat. Ezért az ellenőrzőlistát alulról felfelé haladva követi a láncolatban: először azt, hogy be tud-e érkezni levél, aztán hogy biztonságosan tud-e kapcsolódni, majd hogy megbízható-e a kiküldött levele, és csak ezután jön a finomhangolás.

A DNS-kurzus 8.5. leckéjében található egy ellenőrzőlista a teljes domainre vonatkozóan (regisztráció, névszerverek, weboldal). Ez az ellenőrzőlista kizárólag az e-mailre fókuszál, mélyebben.

Minden ponthoz megadjuk: mit ellenőriz, hogyan (egy eszköz vagy egy DNS-lekérdezés segítségével) és mikor jó az eredmény. A záró feladatban a program automatikusan elvégzi ugyanezeket az ellenőrzéseket, és az eredményt egymás mellé állítja azzal, amit Ön talált.

A rész: be tud érkezni a levél?

A1. MX-rekordok. Kérdezze le a MX <domain> rekordot. Akkor jó, ha van legalább egy MX, és a legalacsonyabb számú host rendelkezik A- vagy AAAA-rekorddal. Ha az MX egy olyan névre mutat, amelynek nincs címe, az azt jelenti, hogy a levél nem érkezik meg.
Különleges eset: a 0 . egy null MX (RFC 7505). Ez azt jelenti, hogy "ez a domain nem fogad e-mailt". Ez jó egy olyan domainnél, amely sosem fogad levelet, mint például az example.com, de hibás a vállalkozása domainjénél.

A2. A levelezőszerver válaszol. Az első MX-host a 25-ös porton fogadja a kapcsolatokat. Otthonról ezt gyakran nem tudja saját maga tesztelni, mivel sok internetszolgáltató blokkolja a kimenő forgalmat a 25-ös porton. Egy online eszköz vagy a záró feladat elvégzi ezt Ön helyett. Akkor jó, ha a szerver egy 220-as üdvözlést ad, és felajánlja a STARTTLS használatát.

A3. Teszt e-mail kívülről. Küldjön levelet egy a domainjén kívüli címről. Megérkezik, és nem a levélszemét mappába?

B rész: tud biztonságosan kapcsolódni?

B1. IMAP a 993-as porton, azzal a szervernévvel, amelyet a levelezőprogramjában használ. Akkor jó, ha a TLS-kapcsolat létrejön, a tanúsítvány érvényes, a szervernév szerepel benne, és a tanúsítvány nem jár le 14 napon belül.

B2. SMTP küldéshez: 465-ös port (közvetlen TLS) és/vagy 587-es port (STARTTLS). Akkor jó, ha legalább az egyik működik érvényes tanúsítvánnyal a szervernévre, és a szerver csak a kapcsolat titkosítása után ajánlja fel a bejelentkezést (AUTH).

Ha itt hibát kap, először ellenőrizze, hogy a szolgáltatója által megadott szervernevet használja-e, és nem egy saját, tanúsítvány nélküli mail.<domain> nevet (2.1. lecke és a 8.3. lecke 9. hibája).

C rész: megbízható a kiküldött levele?

C1. SPF. Kérdezze le a TXT <domain> rekordot. Akkor jó, ha:

pontosan egy rekord van v=spf1 értékkel;
a sor ~all-lal vagy -all-lal végződik (soha +all vagy ?all); kezdőknek a ~all az ajánlott, a -all-t csak akkor, ha biztosan tudja, hogy minden küldő szerepel benne;
a lekérdezések rekurzív összeszámolása (include, a, mx, ptr, exists, redirect, az egyes include-okon belül is) nem haladja meg a 10-et, és legfeljebb 2 lekérdezés jön vissza üresen.

C2. DKIM. Küldőnként (a levelezőszervere, Microsoft 365, a hírlevélszolgáltatója, a webáruháza) egy szelektor tartozik. Ezt megtalálja az adott küldőtől érkező levél fejléceiben (s= és d= a DKIM-Signature fejlécben, 1.5. lecke). Kérdezze le a TXT <selector>._domainkey.<domain> rekordot (esetleg egy CNAME-en keresztül). Akkor jó, ha van egy nem üres p= érték, legalább 2048 bites kulccsal RSA esetén (vagy egy ed25519-kulccsal).

C3. DMARC. Kérdezze le a TXT _dmarc.<domain> rekordot. Akkor jó, ha pontosan egy rekord van v=DMARC1 értékkel, érvényes p= paraméterrel (none, quarantine vagy reject) és egy jelentési címmel (rua=mailto:...). A javasolt sorrend: kezdje p=none értékkel, és olvassa el a jelentéseket; csak akkor térjen át quarantine-ra, majd reject-re, ha minden küldő megfelelően illeszkedik (alignment) (4.4. lecke). A p=none jelentési cím nélkül elszalasztott lehetőség: így semmit sem lát.

C4. Illeszkedés (alignment) a gyakorlatban. Küldjön levelet minden egyes küldőtől egy saját Gmail- vagy Outlook.com-címre, és olvassa el az Authentication-Results fejlécet: dmarc=pass szerepel benne?

D rész: a küldő szerver

D1. Reverse DNS. Keresse meg egy saját maga által küldött levél fejléceiben annak a szervernek az IP-címét, amely a levelet átadta a külvilágnak (a legalsó Received sor, amely már a saját eszközén kívülről származik, 1.5. lecke). Kérdezze le a PTR-t (dig -x <ip>). Akkor jó, ha van egy név, és az a név ugyanarra az IP-re mutat vissza (FCrDNS, 5.1. lecke). A domainje MX-szervereinek is rendben lévő PTR-rel kell rendelkezniük.

D2. Letiltólisták. Ellenőriztesse azt a küldő IP-címet (és az MX-szerverének IP-címét) az ismert letiltólistákon. Akkor jó, ha sehol sem szerepel. Ha mégis szerepel: először keresse meg és oldja meg az okot, csak utána kérje a listáról való törlést (5.2. lecke). Megosztott tárhely esetén ez a szolgáltatója feladata: adja át neki az IP-címet és a hibaüzenetet.

E rész: finomhangolás (opcionális)

E1. MTA-STS és TLS-RPT. TXT _mta-sts.<domain> és TXT _smtp._tls.<domain>. Nem kötelező. Ha van MTA-STS-e, akkor a szabályzatfájlnak elérhetőnek kell lennie a https://mta-sts.<domain>/.well-known/mta-sts.txt címen, és egyeznie kell az MX-ével (5.4. lecke).

E2. DANE. Csak akkor, ha a domainje és az MX-e DNSSEC-cel alá van írva: TLSA-rekordok a _25._tcp.<mx-host> címen. Ezt általában a levelezési szolgáltatója intézi a saját MX-éhez.

F rész: postafiókok, címek és biztonság

Ezt egyetlen program sem tudja Ön helyett ellenőrizni, de ez is a dologhoz tartozik:

F1. Nincs catch-all; csak olyan aliasok és átirányítások, amelyeket tudatosan használ; nincs átirányítás Gmailre vagy más külső címekre (3.3. lecke).
F2. Egyetlen postafiók sem haladja meg a kvótája 80%-át (3.2. lecke).
F3. Mindenki IMAP-ot használ, nem POP3-at több eszközön (1.3. lecke).
F4. Erős, egyedi jelszavak egy jelszókezelőben; nincsenek régi eszközök régi jelszavakkal; nincsenek ismeretlen átirányítási szabályok a postafiókokban (3.4. lecke).
F5. A weboldal űrlapjai SMTP-n keresztül küldenek levelet a saját címével a From mezőben (7.3. lecke); a hírlevelek egy saját DKIM-mel rendelkező szolgáltatáson keresztül mennek (7.1. lecke).

Az eredménytől a feladatlistáig

Az ellenőrzés után zöld, narancssárga és piros pontjai lesznek. Ezeket a következő sorrendben dolgozza fel:

Piros az A vagy B részben: a levél nem érkezik meg, vagy nem tud biztonságosan kapcsolódni. Ezt kell először megoldani.
Piros a C részben: érvénytelen SPF (két rekord, tíznél több lekérdezés), hiányzó DKIM egy küldőnél, két DMARC-rekord. Ez határozza meg, hogy a levele megérkezik-e.
Piros a D részben: nincs PTR vagy szerepel egy letiltólistán. Ez általában a szolgáltatója feladata.
Narancssárga: p=none jelentések nélkül, ?all, egy 1024 bites kulcs, egy hamarosan lejáró tanúsítvány.
E és F rész: fejlesztések és karbantartás.

Ezután tervezze be a karbantartást: negyedévente ismételje meg az ellenőrzőlistát, és mindig egy új szolgáltatás bekötése vagy egy költözés után is. Havonta olvassa el a DMARC-jelentéseit, vagy kérjen egy jelentésszolgáltatást, amely figyelmeztet, ha új forrás jelenik meg.

A gyakorlatban: eszközök

Az ellenőrzésekhez különböző eszközöket használhat. A WebOké-nál ilyen például az ingyenes E-mail ellenőrzés és a Domain egészség (olyan domainekhez is, amelyek nem a WebOké-nál vannak); független eszközök, mint az internet.nl e-mail tesztje és az MXToolbox, hasonló ellenőrzéseket végeznek. Egyetlen eszköz sem lát mindent: egy DKIM-szelektort szinte mindig Önnek kell megadnia, a küldő IP-címet pedig a saját fejléceiből kell kiolvasnia.

Összefoglalás

Ellenőrizze a láncolat sorrendjében: fogadás, kapcsolódás, bizalom, küldő szerver, finomhangolás, karbantartás.
Fogadás: MX létező hosttal, null MX csak e-mailt nem fogadó domaineknél.
Kapcsolódás: érvényes tanúsítvány a 993-as és a 465/587-es porton az Ön által használt szervernévre.
Bizalom: egy SPF tíz lekérdezésen belül ~all/-all záradékkal, DKIM küldőnként, egy DMARC rua-val, és illeszkedés (alignment) a gyakorlatban.
Küldő szerver: PTR FCrDNS-sel és nincs letiltólistás bejegyzés. Állítson össze egy sorrendbe rendezett feladatlistát, és ismételje meg az ellenőrzést negyedévente.

Kvíz

Feladat

Z8.4 feladat: Záró feladat: az Ön saját domenje. Adja meg a saját domainjét (ha nincs, használja az internet.nl domaint példaként), a levelezőprogramjában használt szervernevet, a fejléceiben talált DKIM-szelektor(oka)t és a küldő szerverének IP-címét. Töltse ki az A-tól E-ig terjedő részek minden pontjánál, amit Ön maga talált. A program minden részellenőrzést elvégez, és pontonként zöldre, narancssárgára vagy pirosra állítja az Ön válasza mellett, a leckére mutató linkkel. Ezután írja meg a feladatlistáját (legfeljebb öt pont, sorrendben).

Z8.4. feladat: Záró feladat: az Ön saját domenje

Adja meg a saját domenjét (vagy az internet.nl oldalt), és ha lehetséges, a szervernevét, a DKIM-szelektorát vagy szelektorait (például default vagy s1:mail.example.net, ha a d= domén eltérő) és a küldő szerver IP-címét. Pontonként válassza ki, mit tapasztalt: zöld, narancssárga vagy piros. Az A2, A3, B1, B2 és E opcionálisak: töltse ki ezeket, ha saját maga ellenőrizte őket. Az A2-től B2-ig terjedő pontoknál a szerver kapcsolatba lép a levelezési portokkal (bejelentkezés vagy levélküldés nélkül).

Domén

Szervernév a levelezőprogramjában (opcionális)

DKIM-szelektor(ok), szóközzel elválasztva (opcionális)

A küldő szerver IP-címe (opcionális)

A1 MX

A2 A levelezőszerver válaszol (25-ös port) (opcionális)

A3 TLS az MX-en (opcionális)

B1 IMAP 993 (opcionális)

B2 SMTP 465/587 (opcionális)

C1 SPF

C2 DKIM

C3 DMARC

D1 Az MX PTR-je

D2 A küldő IP PTR-je

D3 Feketelisták

E1 MTA-STS és TLS-RPT (opcionális)

E2 DANE (opcionális)

Amit beír, és amit találunk, azt nem tároljuk. A böngészője megjegyzi a válaszait és azt, hogy teljesítette e a feladatot. Ha bejelentkezett, a Fiókomban csak azt tároljuk, hogy a feladat (majdnem) helyes volt; ott ezt is törölheti.

O8.4 feladat: F rész ellenőrzése. Válaszolja meg az F rész öt kérdését a saját postafiókjaira vonatkozóan, és jegyezze fel, mit fog megváltoztatni.

O8.4. feladat: F rész ellenőrzése

Ezt a feladatot saját maga végzi el, senki nem ellenőrzi. Pipálja ki, amit elvégzett, és jelölje meg a feladatot elvégzettként.

Nincs catch-all és nincs külső átirányítás.
Egyetlen postafiók sincs a korlát 80%-a felett.
Mindenhol IMAP.
A jelszavak egy jelszókezelőben vannak; nincsenek régi eszközök vagy ismeretlen átirányítási szabályok.
Az űrlapok SMTP-n keresztül saját From címmel küldenek; a hírlevél saját DKIM-mel rendelkezik.

Mit fog megváltoztatni?

A pipái és jegyzetei csak ebben a böngészőben maradnak meg, sehova nem küldjük el őket. Ha bejelentkezett, a Fiókomban csak azt tároljuk, hogy elvégezte a feladatot.

További olvasnivaló

Az ezekben a cikkekben leírt lépések a WebOké kezelőfelületeire vonatkoznak; más szolgáltatóknál hasonlóan működik.

Sütik a WebOké oldalán

Sütibeállítások

Szükséges

Marketing