Sjekkliste: slik får du orden på e-posten

Modul 8: Flytte og få domenet ditt i orden · Lesetid: 13 minutter

Læringsmål: Etter denne leksjonen kan du med en fast sjekkliste kontrollere e-posten til ditt eget domene fra start til slutt, forklare resultatet og lage en handlingsliste i riktig rekkefølge.

Nøkkelbegreper: sjekkliste, motta (MX, mailserver, null MX), koble til (TLS, sertifikat, porter 993/465/587), sende (SPF, DKIM, DMARC), utsendingsserveren (PTR, FCrDNS, blokkeringslister), kryptert levering (MTA-STS, TLS-RPT, DANE), mailbokser og adresser, sikkerhet, handlingsliste, periodisk vedlikehold

Hvorfor en fast rekkefølge?

Du har sett mange enkeltdeler i denne kursrekken. I praksis henger de sammen: et DMARC-regelsett har ingen hensikt hvis SPF er ugyldig, og en fin SPF-oppføring hjelper ikke hvis MX peker til en server som ikke finnes. Derfor går du gjennom sjekklisten nedenfra og opp i kjeden: først om e-post kan komme inn, deretter om du kobler til sikkert, så om den e-posten du sender kan stoles på, og først deretter finpussen.

DNS-kurset har i leksjon 8.5 en sjekkliste for hele domenet (registrering, navnetjenere, nettsted). Denne sjekklisten går dypere inn på bare e-posten.

For hvert punkt står det hva du kontrollerer, hvordan (med et verktøy eller et DNS-oppslag) og når det er i orden. I avslutningsoppgaven gjør programmet de samme kontrollene automatisk og setter resultatet ved siden av det du selv fant.

Del A: kan e-post komme inn?

A1. MX-oppføringer. Slå opp MX <domein>. I orden hvis det finnes minst én MX, og verten med lavest tall har en A- eller AAAA-oppføring. En MX som peker til et navn uten adresse betyr at e-post ikke kommer fram.
Spesialtilfelle: 0 . er en null MX (RFC 7505). Det betyr "dette domenet mottar ikke e-post". Det er riktig for et domene som aldri mottar e-post, som example.com, og feil for det forretningsdomenet ditt.

A2. Mailserveren svarer. Den første MX-verten tar imot tilkoblinger på port 25. Hjemmefra kan du ofte ikke teste dette selv, fordi mange internettleverandører blokkerer utgående trafikk på port 25. Et nettbasert verktøy eller avslutningsoppgaven gjør det for deg. I orden hvis serveren gir en 220-velkomst og tilbyr STARTTLS.

A3. Testmail utenfra. Send en e-post fra en adresse utenfor domenet ditt. Kommer den fram, og ikke i spammappen?

Del B: kan du koble til sikkert?

B1. IMAP på port 993 med servernavnet du bruker i e-postprogrammet ditt. I orden hvis TLS-tilkoblingen lykkes, sertifikatet er gyldig, servernavnet står i det og sertifikatet ikke utløper innen 14 dager.

B2. SMTP for sending: port 465 (direkte TLS) og/eller 587 (STARTTLS). I orden hvis minst én av dem fungerer med et gyldig sertifikat for servernavnet, og serveren først tilbyr innlogging (AUTH) etter at tilkoblingen er kryptert.

Får du en feil her, sjekk først om du bruker servernavnet til leverandøren din og ikke et eget mail.<domein> uten sertifikat (leksjon 2.1 og feil 9 i leksjon 8.3).

Del C: kan e-posten du sender stoles på?

C1. SPF. Slå opp TXT <domein>. I orden hvis:

• det finnes nøyaktig én oppføring med v=spf1;
• den slutter på ~all eller -all (aldri +all eller ?all); for nybegynnere er ~all rådet, -all hvis du er sikker på at alle avsendere er inkludert;
• den rekursive tellingen av oppslag (include, a, mx, ptr, exists, redirect, også inne i hver include) ikke overstiger 10, og høyst 2 oppslag kommer tomme tilbake.

C2. DKIM. Per avsender (mailserveren din, Microsoft 365, nyhetsbrevtjenesten din, nettbutikken din) en selector. Du finner den i headerne til en e-post fra den avsenderen (s= og d= i DKIM-Signature, leksjon 1.5). Slå opp TXT <selector>._domainkey.<domein> (eventuelt via en CNAME). I orden hvis det finnes en ikke-tom p=, med en nøkkel på 2048 bit eller mer for RSA (eller en ed25519-nøkkel).

C3. DMARC. Slå opp TXT _dmarc.<domein>. I orden hvis det finnes nøyaktig én oppføring med v=DMARC1, med en gyldig p= (none, quarantine eller reject) og en rapportadresse (rua=mailto:...). Anbefalingen: begynn med p=none og les rapportene; først når alle avsendere er justert, går du videre til quarantine og deretter reject (leksjon 4.4). p=none uten rapportadresse er en bortkastet mulighet: da ser du ingenting.

C4. Justering i praksis. Send en e-post fra hver avsender til en egen Gmail- eller Outlook.com-adresse og les Authentication-Results: dmarc=pass?

Del D: utsendingsserveren

D1. Reverse DNS. Finn i headerne til en e-post du selv sendte IP-adressen til serveren som ga e-posten videre til omverdenen (den nederste Received-linjen som kommer utenfra din egen enhet, leksjon 1.5). Slå opp PTR-en (dig -x <ip>). I orden hvis det finnes et navn, og det navnet peker tilbake til samme IP (FCrDNS, leksjon 5.1). Også MX-serverne til domenet ditt bør ha en ordentlig PTR.

D2. Blokkeringslister. Få kontrollert utsendings-IP-en (og IP-en til MX-en din) mot de kjente blokkeringslistene. I orden hvis den ikke står på noen. Står den der: finn og løs årsaken først, deretter avlisting (leksjon 5.2). Ved delt hosting er dette en oppgave for leverandøren din: gi dem IP-en og feilmeldingen.

Del E: finpuss (valgfritt)

E1. MTA-STS og TLS-RPT. TXT _mta-sts.<domein> og TXT _smtp._tls.<domein>. Ikke obligatorisk. Har du MTA-STS, må policyfilen på https://mta-sts.<domein>/.well-known/mta-sts.txt være tilgjengelig og stemme med MX-en din (leksjon 5.4).

E2. DANE. Bare hvis domenet ditt og MX-en er signert med DNSSEC: TLSA-oppføringer på _25._tcp.<mx-host>. Som regel ordner mailleverandøren din dette for sin egen MX.

Del F: mailbokser, adresser og sikkerhet

Dette kan ikke et program kontrollere for deg, men det hører likevel med:

• F1. Ingen catch-all; bare alias og videresendinger du bevisst bruker; ingen videresending til Gmail eller andre eksterne adresser (leksjon 3.3).
• F2. Ingen mailboks over 80 % av kvoten sin (leksjon 3.2).
• F3. Alle bruker IMAP, ikke POP3 på flere enheter (leksjon 1.3).
• F4. Sterke, unike passord i en passordbehandler; ingen gamle enheter med gamle passord; ingen ukjente videresendingsregler i mailboksene (leksjon 3.4).
• F5. Nettstedsskjemaer sender via SMTP med din egen adresse som From (leksjon 7.3); nyhetsbrev via en tjeneste med egen DKIM (leksjon 7.1).

Fra resultat til handlingsliste

Etter kontrollen har du grønne, oransje og røde punkter. Jobb med dem i denne rekkefølgen:

1. Rødt i del A eller B: e-post kommer ikke fram, eller du kan ikke koble til sikkert. Løs dette først.
2. Rødt i del C: SPF ugyldig (to oppføringer, mer enn ti oppslag), DKIM mangler for en avsender, to DMARC-oppføringer. Dette avgjør om e-posten din kommer fram.
3. Rødt i del D: ingen PTR eller en oppføring på en blokkeringsliste. Vanligvis en oppgave for leverandøren din.
4. Oransje: p=none uten rapporter, ?all, en nøkkel på 1024 bit, et sertifikat som nesten utløper.
5. Del E og F: forbedringer og vedlikehold.

Planlegg deretter vedlikehold: hvert kvartal gjennomgår du sjekklisten på nytt, og alltid etter å ha koblet til en ny tjeneste eller en flytting. Les DMARC-rapportene dine månedlig, eller la en rapporttjeneste varsle deg når en ny kilde dukker opp.

I praksis: verktøy

For kontrollene kan du bruke ulike verktøy. Hos WebOké er det for eksempel den gratis E-postsjekken og Domenehelse (også for domener som ikke ligger hos WebOké); uavhengige verktøy som e-posttesten til internet.nl og MXToolbox gjør tilsvarende kontroller. Ingen verktøy ser alt: en DKIM-selector må du nesten alltid oppgi selv, og utsendings-IP-en henter du fra dine egne headere.

Oppsummering

• Kontroller i rekkefølgen til kjeden: innkommende, tilkobling, tillit, utsendingsserver, finpuss, forvaltning.
• Innkommende: MX med eksisterende vert, null MX bare for domener uten e-post.
• Tilkobling: gyldig sertifikat på 993 og 465/587 for servernavnet du bruker.
• Tillit: én SPF innenfor ti oppslag med ~all/-all, DKIM per avsender, én DMARC med rua, og justering i praksis.
• Utsendingsserver: PTR med FCrDNS og ingen blokkeringslister. Lag en prioritert handlingsliste og gjenta kontrollen hvert kvartal.

Quiz

Oppgave

Oppgave Z8.4: Avsluttende oppgave: ditt eget domene. Fyll inn ditt eget domene (har du ikke noe, bruk internet.nl som eksempel), servernavnet du bruker i e-postprogrammet ditt, DKIM-selectoren(e) du fant i headerne dine og IP-adressen til utsendingsserveren din. Fyll inn per punkt fra del A til og med E hva du selv fant. Programmet gjør hver delkontroll selv og setter grønt, oransje eller rødt ved siden av svaret ditt, per punkt, med en lenke til leksjonen. Deretter skriver du handlingslisten din (maksimalt fem punkter, i rekkefølge).

Oppgave O8.4: Gå gjennom del F. Svar på de fem spørsmålene fra del F for dine egne mailbokser og noter hva du skal endre.

Les mer

Stegene i disse artiklene gjelder for panelene til WebOké; hos andre leverandører fungerer det på tilsvarende måte.

• WebOké-veiledning 5.17: Domene og e-posthelse: kontroller og reparer
• WebOké-veiledning 6.7: Kortet Sett opp e-post (MX, SPF, DKIM, DMARC)
• Internet.nl-sjekkliste: Oppnå 100 % med nettsiden og e-posten din
• Nettsiden eller e-posten fungerer ikke etter en flytting eller DNS-endring: sjekk domenet ditt
• Gratis DNS-kurs 8.5: Sjekkliste for ditt eget domene
• Internet.nl, test e-posten din: https://internet.nl/test-mail/