Poradniki o uwierzytelnianiu poczty
Praktyczne i konkretne poradniki o SPF, DKIM i DMARC. Napraw to, co nie działa, i trzymaj swoją pocztę z dala od spamu.
MTA-STS a DANE: który standard bezpieczeństwa transportu poczty wybrać?
MTA-STS i DANE wymuszają szyfrowane doręczanie poczty przez SMTP, ale opierają zaufanie na czymś innym. MTA-STS korzysta z HTTPS i publicznego systemu urzędów certyfikacji, z luką typu zaufanie przy pierwszym użyciu. DANE korzysta z rekordów TLSA podpisanych przez DNSSEC i nie ma okna pierwszego kontaktu. Gmail i Outlook honorują MTA-STS jako nadawcy, lecz nie weryfikują DANE przy odbiorze, dlatego publikuj MTA-STS dla zasięgu i dodaj DANE tam, gdzie wspiera je Twój DNS i odbiorcy.
Harmonogram rozgrzewania e-mail: jak rozgrzać nową domenę lub IP i nie trafić do spamu
Gotowy do skopiowania harmonogram rozgrzewania na 4 do 6 tygodni dla nowej domeny lub IP wysyłkowego, z dokładnymi dziennymi wolumenami, doborem segmentów i taktykami zaangażowania, które nagradzają Gmail i Outlook. Najpierw sprawdź zgodność SPF, DKIM i DMARC, a potem zwiększaj wolumen powoli i śledź postępy w Postmaster Tools.
Sprawdzenie czarnej listy e-mail: jak ustalić, czy jesteś wpisany, i usunąć wpis z każdej ważnej DNSBL
Czarna lista (DNSBL) to aktualizowana na bieżąco lista adresów IP lub domen, którą serwery pocztowe odpytują, aby zdecydować, czy odrzucić Twoją wiadomość albo wrzucić ją do spamu. Ten przewodnik pokazuje, jak sprawdzić, czy Twoja domena lub wysyłający adres IP jest na liście, które listy blokujące naprawdę wpływają na dostarczalność (Spamhaus, Barracuda, SpamCop, Microsoft), a które listy prestiżowe można zignorować, oraz jaka lista kontrolna przyczyn źródłowych sprawia, że usunięcie wpisu
Business Email Compromise (BEC): lista kontrolna uwierzytelniania poczty, która naprawdę ogranicza ryzyko
Business email compromise to nie jeden atak, lecz trzy: podszywanie się pod dokładny adres domeny, podszywanie się przez domenę bliźniaczą oraz faktycznie przejęte konto. DMARC ustawiony na reject powstrzymuje tylko pierwszy z nich. Ta lista kontrolna przypisuje każdemu zabezpieczeniu atak, który ono rzeczywiście blokuje, a następnie porządkuje je tak, abyś najpierw usunął luki o największym znaczeniu - zaczynając od bezpłatnego sprawdzenia uwierzytelniania własnej domeny.
Dlaczego przekazywanie poczty psuje SPF (i jak naprawiają to SRS oraz ARC)
Przekazywanie poczty psuje SPF, ponieważ serwer przekazujący wysyła wiadomość z adresu IP, którego nigdy nie umieszczono w rekordzie SPF domeny nadawcy, więc weryfikacja z założenia kończy się niepowodzeniem zgodnie z RFC 7208. Ten przewodnik wyjaśnia różnicę między nadawcą koperty a nagłówkiem From, powody, dla których aliasy i listy dyskusyjne zawodzą, oraz to, jak SRS naprawia SPF, a DKIM i ARC przywracają zgodność DMARC.
SPF +all to najniebezpieczniejsze ustawienie poczty: oto dlaczego
Rekord SPF zakończony na +all mówi każdemu serwerowi odbiorczemu, że dowolny adres IP w internecie może wysyłać pocztę w imieniu Twojej domeny. To jedyne ustawienie SPF, które aktywnie pomaga atakującym podszywać się pod Ciebie. Ten przewodnik pokazuje realne skutki phishingu i utraty reputacji, wyjaśnia różnice między -all, ~all i ?all oraz daje bezpieczną ścieżkę przejścia z softfail na hardfail, którą potwierdzisz darmowym sprawdzeniem.
Rotacja kluczy DKIM: jak często zmieniać klucze bez psucia poczty
Praktyczny przewodnik po rotacji kluczy DKIM: domyślnie co 6 miesięcy, co 3 miesiące dla kluczy 1024-bitowych i co miesiąc dla nadawców o wysokiej wartości. Zawiera procedurę bezprzestojowej rotacji z dwoma selektorami, automatyzację z kluczami hostowanymi przez CNAME oraz procedurę awaryjną na wypadek podejrzenia kompromitacji klucza, a wszystko to bez odbijania prawidłowej poczty.
Wiele selektorów DKIM w jednej domenie: podpisywanie poczty dla Google, SendGrid, Mailchimp i innych
DKIM został zaprojektowany tak, aby obsługiwać wiele kluczy w jednej domenie. Każda usługa wysyłkowa publikuje własny klucz publiczny pod unikalnym selektorem, więc Google, SendGrid, Mailchimp i każdy inny strumień mogą podpisywać pocztę niezależnie. Ten przewodnik pokazuje typowe konwencje selektorów dla poszczególnych dostawców, wyjaśnia jedyną zasadę, której nie wolno złamać, i tłumaczy, jak zweryfikować każdy strumień.
DKIM nie przechodzi, a SPF tak: dlaczego tak się dzieje i jak naprawić podpis
Gdy DKIM nie przechodzi, a SPF tak, adres IP nadawcy był autoryzowany, ale podpis został uszkodzony. Ten przewodnik diagnozuje przyczyny na poziomie samego podpisu: niezgodność skrótu treści przez stopki list i przekierowania, zmienione nagłówki, brakujące selektory, obcięte klucze oraz osobliwości znacznika l= określającego długość treści. Zawiera tabelę objaw-przyczyna, krok po kroku pętlę weryfikacji oraz wyjaśnienie, czym błędy podpisu różnią się od błędów wyrównania DMARC, byś naprawił
Jak czytać zbiorczy raport DMARC (RUA): XML rozłożony na czynniki pole po polu
Zbiorczy raport DMARC to codzienny plik XML, który wymienia każdy IP wysyłający pocztę w imieniu Twojej domeny oraz informację, czy przeszedł DMARC. Ten przewodnik prowadzi przez prawdziwą, opatrzoną komentarzami próbkę pole po polu: report_metadata, policy_published i wiersze record, w tym różnicę między wynikami surowymi a wyrównanymi. Następnie podaje trzy wzorce segregacji, dzięki którym odróżnisz nadawców legalnych, ale niepoprawnie skonfigurowanych, od podszywania się i poznasz dokładne
Czy DMARC chroni przed phishingiem? Co blokuje, a czego nie
DMARC z polityką p=reject zatrzymuje atakujących, którzy podszywają się dokładnie pod Twoją domenę, w tym większość oszustw typu CEO-fraud fałszujących Twój adres. Nie zrobi jednak nic z domenami łudząco podobnymi, sztuczkami z nazwą wyświetlaną ani z przejętą skrzynką, z której ktoś loguje się w pełni legalnie. Ten przewodnik daje uczciwą macierz tak/nie, do każdej luki dopasowuje mechanizm, który ją naprawdę zamyka, i pokazuje, gdzie DMARC pasuje w warstwowej obronie, byś przestał traktować
Jak czytać nagłówek Authentication-Results: odczytaj SPF, DKIM i DMARC
Nagłówek Authentication-Results to werdykt Twojego serwera odbiorczego w kwestii tego, czy SPF, DKIM i DMARC zakończyły się powodzeniem. Ten przewodnik pole po polu objaśnia prawdziwe nagłówki z Gmaila, Outlooka i Yahoo, podaje tabelę z każdą możliwą wartością wyniku od pass do permerror, wyjaśnia smtp.mailfrom, header.i oraz dis=, a na końcu przedstawia drzewo decyzyjne w stylu jeśli-X-zawiodło-napraw-Y, dzięki czemu zamienisz mylący ciąg znaków w konkretną naprawę.