Checklista: få din e-post i ordning

Modul 8: Flytta och få ordning på ditt domän · Lästid: 13 minuter

Lärandemål: Efter den här lektionen kan du med en fast checklista kontrollera e-posten för din egen domän från början till slut, förklara resultatet och göra en åtgärdslista i rätt ordning.

Nyckelbegrepp: checklista, mottagning (MX, mailserver, null MX), anslutning (TLS, certifikat, portar 993/465/587), avsändning (SPF, DKIM, DMARC), avsändarservern (PTR, FCrDNS, blocklistor), krypterad leverans (MTA-STS, TLS-RPT, DANE), brevlådor och adresser, säkerhet, åtgärdslista, återkommande underhåll

Varför en fast ordning?

Du har sett många separata delar i den här kursen. I praktiken hänger de ihop: ett DMARC-policy är meningslöst om SPF är ogiltigt, och ett fint SPF-record hjälper inte om MX pekar på en server som inte finns. Därför går du igenom checklistan nerifrån och upp i kedjan: först om mejl kan komma in, sedan om du ansluter säkert, sedan om din utgående e-post går att lita på, och först därefter finjusteringen.

DNS-kursen har i lektion 8.5 en checklista för hela domänen (registrering, namnservrar, webbplats). Den här checklistan går djupare in på enbart e-posten.

För varje punkt anges: vad du kontrollerar, hur (med ett verktyg eller en DNS-uppslagning) och när det är bra. I slutuppgiften gör programmet samma kontroller automatiskt och ställer resultatet bredvid det du själv hittade.

Del A: kan e-post komma in?

A1. MX-records. Slå upp MX <domän>. Bra om det finns minst en MX, och värden med lägst nummer har en A- eller AAAA-post. En MX som pekar på ett namn utan adress betyder att e-post inte kommer fram.
Specialfall: 0 . är en null MX (RFC 7505). Det betyder "den här domänen tar inte emot e-post". Det är bra för en domän som aldrig tar emot e-post, som example.com, och fel för din affärsdomän.

A2. Mailservern svarar. Den första MX-värden tar emot anslutningar på port 25. Hemifrån kan du ofta inte testa det själv, eftersom många internetleverantörer blockerar utgående trafik på port 25. Ett onlineverktyg eller slutuppgiften gör det åt dig. Bra om servern ger en 220-hälsning och erbjuder STARTTLS.

A3. Testmejl utifrån. Skicka ett mejl från en adress utanför din domän. Kommer det fram, och inte i din skräppostmapp?

Del B: kan du ansluta säkert?

B1. IMAP på port 993 med servernamnet du använder i ditt e-postprogram. Bra om TLS-anslutningen lyckas, certifikatet är giltigt, servernamnet finns med och certifikatet inte går ut inom 14 dagar.

B2. SMTP för avsändning: port 465 (direkt TLS) och/eller 587 (STARTTLS). Bra om minst ett av dem fungerar med ett giltigt certifikat för servernamnet, och servern erbjuder inloggning (AUTH) först efter att anslutningen är krypterad.

Får du ett fel här, kontrollera först om du använder leverantörens servernamn och inte ett eget mail.<domän> utan certifikat (lektion 2.1 och fel 9 i lektion 8.3).

Del C: går din utgående e-post att lita på?

C1. SPF. Slå upp TXT <domän>. Bra om:

• det finns exakt en post med v=spf1;
• den slutar på ~all eller -all (aldrig +all eller ?all); för nybörjare rekommenderas ~all, -all om du är säker på att alla avsändare finns med;
• den rekursiva räkningen av uppslagningar (include, a, mx, ptr, exists, redirect, även inom varje include) inte överstiger 10, och högst 2 uppslagningar ger tomt resultat.

C2. DKIM. Per avsändare (din mailserver, Microsoft 365, din nyhetsbrevstjänst, din webbutik) en selector. Du hittar den i rubrikraderna för ett mejl från den avsändaren (s= och d= i DKIM-Signature, lektion 1.5). Slå upp TXT <selector>._domainkey.<domän> (eventuellt via en CNAME). Bra om det finns en icke-tom p=, med en nyckel på 2048 bitar eller mer för RSA (eller en ed25519-nyckel).

C3. DMARC. Slå upp TXT _dmarc.<domän>. Bra om det finns exakt en post med v=DMARC1, med en giltig p= (none, quarantine eller reject) och en rapportadress (rua=mailto:...). Rekommendationen: börja med p=none och läs rapporterna; gå först till quarantine och sedan reject när alla avsändare är uppriktade (lektion 4.4). p=none utan rapportadress är en missad möjlighet: då ser du ingenting.

C4. Uppriktning i praktiken. Skicka ett mejl från varje avsändare till en egen Gmail- eller Outlook.com-adress och läs Authentication-Results: dmarc=pass?

Del D: avsändarservern

D1. Reverse DNS. Leta i rubrikraderna för ett mejl du själv skickade upp IP-adressen för servern som skickade mejlet till omvärlden (den understa Received-raden som kommer utifrån din egen enhet, lektion 1.5). Slå upp PTR (dig -x <ip>). Bra om det finns ett namn, och det namnet pekar tillbaka till samma IP (FCrDNS, lektion 5.1). Även domänens MX-servrar bör ha en korrekt PTR.

D2. Blocklistor. Låt det avsändande IP:t (och IP:t för din MX) kontrolleras mot de kända blocklistorna. Bra om det inte finns på någon. Finns det med: hitta och åtgärda orsaken först, sedan begär avlistning (lektion 5.2). Vid delad webbhotell är det en uppgift för din leverantör: lämna IP:t och felmeddelandet till dem.

Del E: finjustering (valfritt)

E1. MTA-STS och TLS-RPT. TXT _mta-sts.<domän> och TXT _smtp._tls.<domän>. Inte obligatoriskt. Har du MTA-STS måste policyfilen vara nåbar på https://mta-sts.<domän>/.well-known/mta-sts.txt och stämma överens med din MX (lektion 5.4).

E2. DANE. Endast om din domän och MX är signerade med DNSSEC: TLSA-poster på _25._tcp.<mx-värd>. Oftast sköter din e-postleverantör det här för sin egen MX.

Del F: brevlådor, adresser och säkerhet

Det här kan inget program kontrollera åt dig, men det hör ändå till:

• F1. Ingen catch-all; endast alias och vidarebefordran som du medvetet använder; ingen vidarebefordran till Gmail eller andra externa adresser (lektion 3.3).
• F2. Ingen brevlåda över 80 % av sin kvot (lektion 3.2).
• F3. Alla använder IMAP, inte POP3 på flera enheter (lektion 1.3).
• F4. Starka, unika lösenord i en lösenordshanterare; inga gamla enheter med gamla lösenord; inga okända vidarebefordringsregler i brevlådorna (lektion 3.4).
• F5. Webbplatsformulär skickas via SMTP med din egen adress som From (lektion 7.3); nyhetsbrev via en tjänst med egen DKIM (lektion 7.1).

Från resultat till åtgärdslista

Efter kontrollen har du gröna, orange och röda punkter. Åtgärda dem i den här ordningen:

1. Rött i del A eller B: e-post kommer inte fram eller du kan inte ansluta säkert. Åtgärda det först.
2. Rött i del C: SPF ogiltigt (två poster, fler än tio uppslagningar), DKIM saknas för en avsändare, två DMARC-poster. Det här avgör om din e-post kommer fram.
3. Rött i del D: ingen PTR eller en blocklistning. Oftast en uppgift för din leverantör.
4. Orange: p=none utan rapporter, ?all, en nyckel på 1024 bitar, ett certifikat som snart går ut.
5. Del E och F: förbättringar och underhåll.

Planera sedan underhåll: gå igenom checklistan på nytt varje kvartal, och alltid efter att du kopplat in en ny tjänst eller gjort en flytt. Läs dina DMARC-rapporter varje månad, eller låt en rapporttjänst varna dig om en ny källa dyker upp.

I praktiken: verktyg

För kontrollerna kan du använda olika verktyg. Hos WebOké är det till exempel de kostnadsfria verktygen E-postkontroll och Domänhälsa (även för domäner som inte finns hos WebOké); oberoende verktyg som e-posttestet på internet.nl och MXToolbox gör liknande kontroller. Inget verktyg ser allt: en DKIM-selector måste du nästan alltid ange själv, och avsändar-IP:t hämtar du från dina egna rubrikrader.

Sammanfattning

• Kontrollera i kedjans ordning: mottagning, anslutning, förtroende, avsändarserver, finjustering, underhåll.
• Mottagning: MX med befintlig värd, null MX endast för domäner utan e-post.
• Anslutning: giltigt certifikat på 993 och 465/587 för servernamnet du använder.
• Förtroende: en SPF inom tio uppslagningar med ~all/-all, DKIM per avsändare, en DMARC med rua, och uppriktning i praktiken.
• Avsändarserver: PTR med FCrDNS och inga blocklistningar. Gör en prioriterad åtgärdslista och upprepa kontrollen varje kvartal.

Quiz

Uppgift

Uppgift Z8.4: Slutuppgift: ditt eget domän. Ange din egen domän (har du ingen, använd internet.nl som exempel), servernamnet du använder i ditt e-postprogram, DKIM-selectorn/selectorerna du hittade i dina rubrikrader och IP-adressen för din avsändarserver. Fyll i per punkt från del A till och med E vad du själv hittade. Programmet gör varje delkontroll själv och sätter grönt, orange eller rött bredvid ditt svar för varje punkt, med en länk till lektionen. Skriv sedan din åtgärdslista (högst fem punkter, i ordning).

Uppgift O8.4: Gå igenom del F. Besvara de fem frågorna i del F för dina egna brevlådor och anteckna vad du tänker ändra.

Läs mer

Stegen i de här artiklarna gäller för WebOkés kontrollpaneler; hos andra leverantörer fungerar det på liknande sätt.

• WebOké manual 5.17: Domän och e-posthälsa: kontrollera och åtgärda
• WebOké manual 6.7: Kortet Ställ in e-post (MX, SPF, DKIM, DMARC)
• Internet.nl-checklista: nå 100% med din webbplats och e-post
• Webbplatsen eller e-posten fungerar inte efter en flytt eller DNS-ändring: kontrollera din domän
• Gratis DNS-kurs 8.5: Checklista för din egen domän
• Internet.nl, testa din e-post: https://internet.nl/test-mail/