Checklist: la Sua posta elettronica in ordine

Modulo 8: Trasloco e messa in ordine del Suo dominio · Tempo di lettura: 13 minuti

Obiettivo della lezione: dopo questa lezione sarà in grado di verificare, con una checklist fissa, la posta elettronica del Suo dominio dall'inizio alla fine, spiegare il risultato e redigere un elenco di azioni nell'ordine giusto.

Concetti chiave: checklist, ricezione (MX, server di posta, null MX), connessione (TLS, certificato, porte 993/465/587), invio (SPF, DKIM, DMARC), il server di invio (PTR, FCrDNS, blocklist), consegna cifrata (MTA-STS, TLS-RPT, DANE), mailbox e indirizzi, sicurezza, elenco di azioni, manutenzione periodica

Perché un ordine fisso?

In questo corso ha visto molti elementi separati. Nella pratica sono collegati tra loro: una policy DMARC non serve a nulla se l'SPF non è valido, e un bel record SPF non aiuta se l'MX punta a un server che non esiste. Per questo motivo percorre la checklist dal basso verso l'alto nella catena: prima se la posta può arrivare, poi se Lei si connette in modo sicuro, poi se la Sua posta inviata è affidabile, e solo dopo i perfezionamenti.

Il corso sul DNS presenta, alla lezione 8.5, una checklist per l'intero dominio (registrazione, nameserver, sito web). Questa checklist approfondisce solo la parte relativa alla posta elettronica.

Per ogni punto è indicato: cosa verificare, come (con uno strumento o un'interrogazione DNS) e quando è corretto. Nell'esercizio finale il programma esegue automaticamente gli stessi controlli e mette a confronto il risultato con quanto Lei ha trovato.

Parte A: la posta può arrivare?

A1. Record MX. Interroghi MX <dominio>. È corretto se esiste almeno un MX, e l'host con il numero più basso ha un record A o AAAA. Un MX che punta a un nome senza indirizzo significa che la posta non arriva.
Caso particolare: 0 . è un null MX (RFC 7505). Significa "questo dominio non riceve posta". È corretto per un dominio che non riceve mai posta, come example.com, ed è sbagliato per il Suo dominio aziendale.

A2. Il server di posta risponde. Il primo host MX accetta connessioni sulla porta 25. Da casa spesso non può testarlo Lei stesso, perché molti provider internet bloccano il traffico in uscita sulla porta 25. Uno strumento online o l'esercizio finale lo fa per Lei. È corretto se il server fornisce un saluto 220 e offre STARTTLS.

A3. Mail di prova dall'esterno. Invii una mail da un indirizzo esterno al Suo dominio. Arriva, e non nella cartella spam?

Parte B: può connettersi in modo sicuro?

B1. IMAP sulla porta 993 con il nome del server che Lei utilizza nel Suo programma di posta. È corretto se la connessione TLS riesce, il certificato è valido, contiene il nome del server e il certificato non scade entro 14 giorni.

B2. SMTP per l'invio: porta 465 (TLS diretto) e/o 587 (STARTTLS). È corretto se almeno una delle due funziona con un certificato valido per il nome del server, e il server offre l'accesso (AUTH) solo dopo che la connessione è stata cifrata.

Se qui riceve un errore, verifichi prima se sta utilizzando il nome del server del Suo fornitore e non un proprio mail.<dominio> privo di certificato (lezione 2.1 e errore 9 nella lezione 8.3).

Parte C: la Sua posta inviata è affidabile?

C1. SPF. Interroghi TXT <dominio>. È corretto se:

• esiste esattamente un record con v=spf1;
• termina con ~all o -all (mai +all o ?all); per i principianti il consiglio è ~all, -all se è sicuro che tutti i mittenti siano inclusi;
• il conteggio ricorsivo delle interrogazioni (include, a, mx, ptr, exists, redirect, anche all'interno di ogni include) non supera 10, e al massimo 2 interrogazioni restituiscono un risultato vuoto.

C2. DKIM. Per ciascun mittente (il Suo server di posta, Microsoft 365, il Suo servizio di newsletter, il Suo negozio online) un selector. Lo trova nelle intestazioni di una mail di quel mittente (s= e d= nella DKIM-Signature, lezione 1.5). Interroghi TXT <selector>._domainkey.<dominio> (eventualmente tramite un CNAME). È corretto se è presente un p= non vuoto, con una chiave di 2048 bit o più per RSA (oppure una chiave ed25519).

C3. DMARC. Interroghi TXT _dmarc.<dominio>. È corretto se esiste esattamente un record con v=DMARC1, con un p= valido (none, quarantine o reject) e un indirizzo per i rapporti (rua=mailto:...). La linea guida: inizi con p=none e legga i rapporti; solo quando tutti i mittenti sono allineati, passi a quarantine e poi a reject (lezione 4.4). p=none senza indirizzo per i rapporti è un'occasione mancata: in tal caso non vede nulla.

C4. Allineamento nella pratica. Invii una mail da ciascun mittente verso un proprio indirizzo Gmail o Outlook.com e legga Authentication-Results: dmarc=pass?

Parte D: il server di invio

D1. Reverse DNS. Cerchi nelle intestazioni di una mail inviata da Lei l'indirizzo IP del server che ha consegnato la mail verso l'esterno (l'ultima riga Received proveniente da fuori il Suo stesso dispositivo, lezione 1.5). Interroghi il PTR (dig -x <ip>). È corretto se esiste un nome, e quel nome rimanda nuovamente allo stesso IP (FCrDNS, lezione 5.1). Anche i server MX del Suo dominio dovrebbero avere un PTR corretto.

D2. Blocklist. Faccia verificare quell'IP di invio (e l'IP del Suo MX) sulle blocklist conosciute. È corretto se non compare da nessuna parte. Se compare: prima trovi e risolva la causa, solo dopo richieda la rimozione (lezione 5.2). Con l'hosting condiviso, questo è un compito del Suo fornitore: comunichi l'IP e il messaggio di errore.

Parte E: perfezionamenti (facoltativo)

E1. MTA-STS e TLS-RPT. TXT _mta-sts.<dominio> e TXT _smtp._tls.<dominio>. Non obbligatorio. Se dispone di MTA-STS, il file di policy su https://mta-sts.<dominio>/.well-known/mta-sts.txt deve essere raggiungibile e corrispondere al Suo MX (lezione 5.4).

E2. DANE. Solo se il Suo dominio e l'MX sono firmati con DNSSEC: record TLSA su _25._tcp.<mx-host>. Di solito è il Suo fornitore di posta a occuparsene per il proprio MX.

Parte F: mailbox, indirizzi e sicurezza

Questo non può essere verificato da un programma, ma fa comunque parte della checklist:

• F1. Nessun catch-all; solo alias e reindirizzamenti usati consapevolmente; nessun reindirizzamento verso Gmail o altri indirizzi esterni (lezione 3.3).
• F2. Nessuna mailbox oltre l'80% della propria quota (lezione 3.2).
• F3. Tutti utilizzano IMAP, non POP3 su più dispositivi (lezione 1.3).
• F4. Password robuste e uniche in un gestore di password; nessun dispositivo vecchio con password obsolete; nessuna regola di reindirizzamento sconosciuta nelle mailbox (lezione 3.4).
• F5. I moduli del sito web inviano tramite SMTP con il Suo indirizzo come From (lezione 7.3); le newsletter tramite un servizio con DKIM proprio (lezione 7.1).

Dal risultato all'elenco di azioni

Dopo il controllo avrà punti verdi, arancioni e rossi. Li affronti in quest'ordine:

1. Rosso nella parte A o B: la posta non arriva o non può connettersi in modo sicuro. Risolva prima questo.
2. Rosso nella parte C: SPF non valido (due record, più di dieci interrogazioni), DKIM mancante per un mittente, due record DMARC. Questo determina se la Sua posta arriva.
3. Rosso nella parte D: nessun PTR o una presenza in una blocklist. Di solito un compito per il Suo fornitore.
4. Arancione: p=none senza rapporti, ?all, una chiave da 1024 bit, un certificato in scadenza imminente.
5. Parte E e F: miglioramenti e manutenzione.

Pianifichi poi la manutenzione: ogni trimestre ripeta la checklist, e sempre dopo aver collegato un nuovo servizio o dopo un trasloco. Legga mensilmente i Suoi rapporti DMARC, oppure si faccia avvisare da un servizio di reportistica quando compare una nuova fonte.

Nella pratica: strumenti

Per i controlli può utilizzare diversi strumenti. Presso WebOké, ad esempio, sono disponibili il controllo email gratuito e Salute del dominio (anche per domini non ospitati presso WebOké); strumenti indipendenti come il test e-mail di internet.nl e MXToolbox eseguono controlli simili. Nessuno strumento vede tutto: un selector DKIM deve quasi sempre indicarlo Lei stesso, e l'IP di invio lo ricava dalle Sue stesse intestazioni.

Riepilogo

• Verifichi nell'ordine della catena: ricezione, connessione, affidabilità, server di invio, perfezionamento, gestione.
• Ricezione: MX con host esistente, null MX solo per domini senza posta.
• Connessione: certificato valido su 993 e 465/587 per il nome del server che utilizza.
• Affidabilità: un SPF entro dieci interrogazioni con ~all/-all, DKIM per ciascun mittente, un DMARC con rua, e allineamento nella pratica.
• Server di invio: PTR con FCrDNS e nessuna blocklist. Crei un elenco di azioni in ordine e ripeta il controllo ogni trimestre.

Quiz

Esercizio

Esercizio Z8.4: Esercizio finale: il Suo dominio. Inserisca il Suo dominio (se non ne ha uno, utilizzi internet.nl come esempio), il nome del server che utilizza nel Suo programma di posta, il/i selector DKIM che ha trovato nelle Sue intestazioni e l'indirizzo IP del Suo server di invio. Compili per ogni punto, dalla parte A alla E, quanto Lei stesso ha trovato. Il programma esegue ogni singolo controllo e mostra, accanto alla Sua risposta, verde, arancione o rosso per ogni punto, con un link alla lezione. Dopodiché scriva il Suo elenco di azioni (massimo cinque punti, in ordine).

Esercizio O8.4: Verificare la parte F. Risponda alle cinque domande della parte F per le Sue mailbox e annoti cosa intende cambiare.

Per saperne di più

I passaggi descritti in questi articoli si riferiscono ai pannelli di WebOké; presso altri fornitori il funzionamento è simile.

• Guida WebOké 5.17: Salute del dominio e dell'e-mail: verificare e risolvere
• Guida WebOké 6.7: La scheda Configura l'e-mail (MX, SPF, DKIM, DMARC)
• Checklist di internet.nl
• Il sito web o l'indirizzo e-mail non funziona dopo un trasloco o una modifica DNS: verifichi il Suo dominio
• Corso gratuito DNS 8.5: Checklist per il proprio dominio
• Internet.nl, testi la Sua posta elettronica: https://internet.nl/test-mail/