Tjekliste: styr på din e-mail

Modul 8: Flytning og styr på dit domæne · Læsetid: 13 minutter

Læringsmål: Efter denne lektion kan du med en fast tjekliste kontrollere e-mailen på dit eget domæne fra ende til anden, forklare resultatet og lave en actionliste i den rigtige rækkefølge.

Nøglebegreber: tjekliste, modtagelse (MX, mailserver, null MX), forbindelse (TLS, certifikat, porte 993/465/587), afsendelse (SPF, DKIM, DMARC), afsenderserveren (PTR, FCrDNS, blocklister), krypteret levering (MTA-STS, TLS-RPT, DANE), mailbokse og adresser, sikkerhed, actionliste, periodisk vedligeholdelse

Hvorfor en fast rækkefølge?

Du har set mange enkeltdele i denne kursus. I praksis hænger de sammen: en DMARC-politik giver ingen mening, hvis SPF er ugyldig, og et pænt SPF-record hjælper ikke, hvis MX peger på en server, der ikke findes. Derfor gennemgår du tjeklisten nedefra og op i kæden: først om mail overhovedet kan komme ind, derefter om du forbinder sikkert, derefter om din afsendte mail kan stoles på, og først derefter finjusteringen.

DNS-kurset har i lektion 8.5 en tjekliste for hele domænet (registrering, navneservere, hjemmeside). Denne tjekliste går mere i dybden med kun e-mailen.

For hvert punkt står: hvad du kontrollerer, hvordan (med et værktøj eller et DNS-opslag) og hvornår det er i orden. I den afsluttende opgave udfører programmet de samme kontroller automatisk og sammenligner resultatet med det, du selv fandt.

Del A: kan der komme mail ind?

A1. MX-records. Slå MX <domæne> op. Det er i orden, hvis der er mindst én MX, og hosten med det laveste tal har et A- eller AAAA-record. En MX, der peger på et navn uden adresse, betyder, at mail ikke kommer frem.
Særtilfælde: 0 . er en null MX (RFC 7505). Det betyder "dette domæne modtager ikke mail". Det er i orden for et domæne, der aldrig modtager mail, som example.com, og forkert for dit erhvervsdomæne.

A2. Mailserveren svarer. Den første MX-host tager imod forbindelser på port 25. Hjemmefra kan du ofte ikke teste det selv, fordi mange internetudbydere blokerer udgående trafik på port 25. Et online værktøj eller den afsluttende opgave gør det for dig. Det er i orden, hvis serveren giver en 220-velkomst og tilbyder STARTTLS.

A3. Testmail udefra. Send en mail fra en adresse uden for dit domæne. Kommer den frem, og ikke i din spammappe?

Del B: kan du forbinde sikkert?

B1. IMAP på port 993 med det servernavn, du bruger i dit mailprogram. Det er i orden, hvis TLS-forbindelsen lykkes, certifikatet er gyldigt, servernavnet står i det, og certifikatet ikke udløber inden for 14 dage.

B2. SMTP til afsendelse: port 465 (direkte TLS) og/eller 587 (STARTTLS). Det er i orden, hvis mindst en af dem virker med et gyldigt certifikat til servernavnet, og serveren først tilbyder login (AUTH), efter forbindelsen er krypteret.

Får du her en fejl, så tjek først om du bruger servernavnet fra din udbyder og ikke dit eget mail.<domæne> uden certifikat (lektion 2.1 og fejl 9 i lektion 8.3).

Del C: kan din afsendte mail stoles på?

C1. SPF. Slå TXT <domæne> op. Det er i orden, hvis:

• der er præcis ét record med v=spf1;
• det slutter på ~all eller -all (aldrig +all eller ?all); for begyndere anbefales ~all, -all hvis du er sikker på, at alle afsendere er med;
• den rekursive optælling af opslag (include, a, mx, ptr, exists, redirect, også inden i hver include) ikke overstiger 10, og højst 2 opslag kommer tomme tilbage.

C2. DKIM. Pr. afsender (din mailserver, Microsoft 365, din nyhedsbrevstjeneste, din webshop) en selector. Du finder den i headerne i en mail fra den afsender (s= og d= i DKIM-Signature, lektion 1.5). Slå TXT <selector>._domainkey.<domæne> op (eventuelt via en CNAME). Det er i orden, hvis der står en ikke-tom p=, med en nøgle på 2048 bit eller mere til RSA (eller en ed25519-nøgle).

C3. DMARC. Slå TXT _dmarc.<domæne> op. Det er i orden, hvis der er præcis ét record med v=DMARC1, med en gyldig p= (none, quarantine eller reject) og en rapportadresse (rua=mailto:...). Rådet er: begynd med p=none og læs rapporterne; først når alle afsendere er tilpasset (alignment), går du videre til quarantine og derefter reject (lektion 4.4). p=none uden rapportadresse er en forpasset mulighed: så ser du ingenting.

C4. Tilpasning i praksis. Send en mail fra hver afsender til en egen Gmail- eller Outlook.com-adresse, og læs Authentication-Results: dmarc=pass?

Del D: afsenderserveren

D1. Reverse DNS. Find i headerne på en mail, du selv sendte, IP-adressen på den server, der afleverede mailen til omverdenen (den nederste Received-linje, der kommer uden for dit eget apparat, lektion 1.5). Slå PTR op (dig -x <ip>). Det er i orden, hvis der er et navn, og det navn peger tilbage til samme IP (FCrDNS, lektion 5.1). Også MX-serverne til dit domæne bør have en ordentlig PTR.

D2. Blocklister. Få det afsender-IP (og IP'et på din MX) kontrolleret mod de kendte blocklister. Det er i orden, hvis det ikke står nogen steder. Står det der: find og løs først årsagen, og afmeld det derefter fra listen (lektion 5.2). Ved delt hosting er det en opgave for din udbyder: giv dem IP'et og fejlmeddelelsen.

Del E: finjustering (valgfrit)

E1. MTA-STS og TLS-RPT. TXT _mta-sts.<domæne> og TXT _smtp._tls.<domæne>. Ikke obligatorisk. Har du MTA-STS, skal politikfilen på https://mta-sts.<domæne>/.well-known/mta-sts.txt være tilgængelig og stemme overens med din MX (lektion 5.4).

E2. DANE. Kun hvis dit domæne og MX er signeret med DNSSEC: TLSA-records på _25._tcp.<mx-host>. Som regel ordner din mailudbyder dette for sin egen MX.

Del F: mailbokse, adresser og sikkerhed

Dette kan intet program kontrollere for dig, men det hører med:

• F1. Ingen catch-all; kun aliasser og videresendelser du bevidst bruger; ingen videresendelse til Gmail eller andre eksterne adresser (lektion 3.3).
• F2. Ingen mailboks over 80% af sin kvote (lektion 3.2).
• F3. Alle arbejder med IMAP, ikke POP3 på flere enheder (lektion 1.3).
• F4. Stærke, unikke adgangskoder i en password manager; ingen gamle enheder med gamle adgangskoder; ingen ukendte videresendelsesregler i mailboksene (lektion 3.4).
• F5. Hjemmesideformularer sender via SMTP med din egen adresse som From (lektion 7.3); nyhedsbreve via en tjeneste med egen DKIM (lektion 7.1).

Fra resultat til actionliste

Efter kontrollen har du grønne, orange og røde punkter. Behandl dem i denne rækkefølge:

1. Rød i del A eller B: mail kommer ikke frem, eller du kan ikke forbinde sikkert. Løs det først.
2. Rød i del C: SPF ugyldig (to records, mere end ti opslag), DKIM mangler for en afsender, to DMARC-records. Dette afgør, om din mail kommer frem.
3. Rød i del D: ingen PTR eller en blocklistopførelse. Som regel en opgave for din udbyder.
4. Orange: p=none uden rapporter, ?all, en nøgle på 1024 bit, et certifikat der snart udløber.
5. Del E og F: forbedringer og vedligeholdelse.

Planlæg derefter vedligeholdelse: hvert kvartal tjeklisten igen, og altid efter tilkobling af en ny tjeneste eller en flytning. Læs dine DMARC-rapporter hver måned, eller få en rapporttjeneste til at advare dig, hvis der dukker en ny kilde op.

I praksis: værktøjer

Til kontrollerne kan du bruge forskellige værktøjer. Hos WebOké er det for eksempel den gratis E-mailtjek og Domænesundhed (også til domæner, der ikke ligger hos WebOké); uafhængige værktøjer som e-mailtesten fra internet.nl og MXToolbox udfører tilsvarende kontroller. Intet værktøj ser alt: en DKIM-selector skal du næsten altid selv angive, og afsender-IP'et henter du fra dine egne headere.

Sammenfatning

• Kontrollér i kædens rækkefølge: modtagelse, forbindelse, tillid, afsenderserver, finjustering, administration.
• Modtagelse: MX med eksisterende host, null MX kun til domæner uden mail.
• Forbindelse: gyldigt certifikat på 993 og 465/587 til det servernavn, du bruger.
• Tillid: én SPF inden for ti opslag med ~all/-all, DKIM pr. afsender, én DMARC med rua, og tilpasning i praksis.
• Afsenderserver: PTR med FCrDNS og ingen blocklister. Lav en actionliste i rækkefølge og gentag kontrollen hvert kvartal.

Quiz

Opgave

Opgave Z8.4: Afsluttende opgave: dit eget domæne. Indtast dit eget domæne (har du ingen, så brug internet.nl som eksempel), det servernavn du bruger i dit mailprogram, den/de DKIM-selector(er) du fandt i dine headere og IP-adressen på din afsenderserver. Udfyld for hvert punkt fra del A til og med E, hvad du selv fandt. Programmet udfører hver delkontrol selv og sætter grønt, orange eller rødt ud for dit svar, med et link til lektionen. Bagefter skriver du din actionliste (højst fem punkter, i rækkefølge).

Opgave O8.4: Gennemgå del F. Besvar de fem spørgsmål fra del F for dine egne mailbokse og noter, hvad du vil ændre.

Læs mere

Trinene i disse artikler gælder for panelerne hos WebOké; hos andre udbydere fungerer det tilsvarende.

• WebOké vejledning 5.17: Domæne og mailens sundhed: kontrollér og ret problemer
• WebOké vejledning 6.7: Kortet Opsæt e-mail (MX, SPF, DKIM, DMARC)
• Internet.nl-tjekliste: Opnå 100% med din hjemmeside og e-mail
• Websted eller e-mail virker ikke efter en flytning eller DNS-ændring: kontroller dit domæne
• Gratis DNS-kursus 8.5: Tjekliste til dit eget domæne
• Internet.nl, test din e-mail: https://internet.nl/test-mail/