So richten Sie die DNS-TXT-Zone für SPF, DKIM und DMARC ein und verhindern, dass geschäftliche E-Mail-Nachrichten von Gmail abgelehnt werden - E-Mail-Zustellung fehlgeschlagen

Administratorii von strenge private E-Mail für Unternehmen es steht oft vor vielen Problemen und Herausforderungen. Aus den Wellen von SPAM die durch spezielle Filter blockiert werden müssen, Korrespondenzsicherheit auf dem lokalen E-Mail-Server und Remote-Servern, Konfiguration si Überwachung von SMTP-Diensten, POP, IMAP, plus viele, viele andere Details SPF-, DKIM- und DMARC-Konfiguration Best Practices für sicheren E-Mail-Versand zu befolgen.

Viele Probleme E-Mail-Nachrichten senden oder Empfänger zu / von Ihren Providern, erscheinen aufgrund falscher Konfiguration des Bereichs DNS, was ist mit dem E-Mail-Service.

Damit E-Mails von einem Domainnamen gesendet werden können, muss dies der Fall sein auf einem E-Mail-Server gehostet Richtig konfiguriert und Domänenname DNS-Zonen haben für SPF, MX, DMarc SI DKIM im Manager richtig eingestellt DNS-TXT der Domäne.

Im heutigen Artikel konzentrieren wir uns auf ein ziemlich häufiges Problem private geschäftliche E-Mail-Server. E-Mail kann nicht an Gmail, Yahoo! oder iCloud.

An @ Gmail.com gesendete Nachrichten werden automatisch abgelehnt. „E-Mail-Zustellung fehlgeschlagen: Nachricht an Absender zurücksenden“

Ich bin kürzlich auf ein Problem gestoßen eine E-Mail-Domain eines Unternehmens, von der regelmäßig E-Mails an andere Unternehmen und an Privatpersonen versendet werden, von denen einige Adressen haben .. Alle an Google Mail-Konten gesendeten Nachrichten werden sofort an den Absender zurückgesendet. "E-Mail-Zustellung fehlgeschlagen: Nachricht an Absender zurücksenden".

Fehlermeldung an den E-Mail-Server zurückgegeben EXIM sieht aus wie das:

1nSeUV-0005zz-De ** reciver@gmail.com R=dnslookup T=remote_smtp H=gmail-smtp-in.l.google.com [142.x.x.27] X=TLS1.2:ECDHE-ECDSA-AES128-GCM-SHA256:128 CV=yes: SMTP error from remote mail server after pipelined end of data: 550-5.7.26 This message does not have authentication information or fails to\n550-5.7.26 pass authentication checks. To best protect our users from spam, the\n550-5.7.26 message has been blocked. Please visit\n550-5.7.26  https://support.google.com/mail/answer/81126#authentication for more\n550 5.7.26 information. d3-20020adff843000000b001f1d7bdaeb7si6107985wrq.510 - gsmtp

In diesem Szenario ist es nicht etwas sehr Ernstes, wie z den sendenden Domänennamen oder die sendende IP in eine SPAM-Liste aufnehmen global oder o schwerwiegender Konfigurationsfehler von E-Mail-Diensten auf Server (EXIM).
Auch wenn viele Leute diese Meldung sofort sehen, wenn sie an SPAM oder einen SMTP-Konfigurationsfehler denken, wird das Problem durch den Bereich generiert. DNS-TXT der Domäne. Meistens ist DKIM in der DNS-Zone nicht konfiguriert oder wird im DNS-Manager der Domain nicht korrekt übergeben. Dieses Problem tritt häufig bei Benutzern auf CloudFlare als DNS-Manager und vergessen zu passieren DNS-TXT: mail._domainkey (DKIM), DMarc si SPF.

Wie uns die Ablehnungsnachricht von Google Mail mitteilt, ist die Authentizität und Authentifizierung der Absenderdomäne fehlgeschlagen. „Diese Nachricht enthält keine Authentifizierungsinformationen oder kann die Authentifizierungsprüfungen \ n550-5.7.26 nicht bestehen.“ Das bedeutet, dass für die Domäne DNS TXT nicht konfiguriert ist, um die Glaubwürdigkeit für den E-Mail-Server des Empfängers sicherzustellen. Gmail, in unserem Skript.

Wenn wir eine Webdomain mit einem aktiven E-Mail-Dienst zu ihrem cPanel hinzufügen VestaCPwerden auch die Dateien in der DNS-Zone der jeweiligen Domain automatisch angelegt. DNS-Zone, die die Konfiguration des E-Mail-Dienstes enthält: MX, SPF, DKIM, DMarc.
In der Situation, in der wir die Domäne als Manager auswählen DNS-CloudFlaremuss der DNS-Bereich des Hosting-Kontos der Domain nach CloudFlare kopiert werden, damit die E-Mail-Domain ordnungsgemäß funktioniert. Das war das Problem im obigen Szenario. In einem DNS-Manager eines Drittanbieters ist keine DKIM-Registrierung vorhanden, obwohl sie auf dem DNS-Manager des lokalen Servers vorhanden ist.

Was ist DKIM und warum werden E-Mails abgelehnt, wenn wir diese Funktion nicht in einer E-Mail-Domain haben?

DomainKeys Identifizierte E-Mail (DKIM) ist eine Standard-E-Mail-Domain-Authentifizierungslösung, die a hinzufügt Digitale Signaturen jede gesendete Nachricht. Die Zielserver können über DKIM überprüfen, ob die Nachricht aus der Rechtsdomäne des Absenders stammt und nicht aus einer anderen Domäne, die die Identität des Absenders als Maske verwendet. Auf alle Fälle, wenn Sie die Domain haben abcdqwerty.com €XNUMX ohne DKIM können E-Mails von anderen Servern mit Ihrem Domainnamen gesendet werden. Es ist, wenn Sie einen Identitätsdiebstahl wollen, was in der Fachsprache heißt E-Mail-Spoofing.
Eine gängige Technik beim Senden von E-Mail-Nachrichten Phishing si Spam.

Durch DKIM kann auch sichergestellt werden, dass Der Inhalt der Nachricht wurde nach dem Senden durch den Absender nicht geändert.

Durch die korrekte Einstellung von DKIM auf dem strikten Host des E-Mail-Systems und im DNS-Bereich wird auch die Möglichkeit ausgeschlossen, dass Ihre Nachrichten den Empfänger mit SPAM erreichen oder gar nicht erreichen.

Ein Beispiel für ein DKIM ist:

mail._domainkey: "v=DKIM1; k=rsa; p=MIGfMA0GCSqGfdSIb3DQEBAQUAA4GN ... ocqWffd4cwIDAQAB"

Natürlich erhält man den DKIM-Wert durch RSA-Verschlüsselungsalgorithmus ist für jeden Domänennamen eindeutig und kann vom E-Mail-Server des Hosts neu generiert werden.

DKIM installiert und richtig eingestellt haben DNS-TXT Manager ist es sehr gut möglich, das Problem der an Google Mail-Konten zurückgegebenen Nachrichten zu lösen. Zumindest für den Fehler "E-Mail-Zustellung fehlgeschlagen":

„SMTP error vom Remote-Mail-Server nach Ende der Datenpipeline: 550-5.7.26 Diese Nachricht enthält keine Authentifizierungsinformationen oder kann die Authentifizierungsprüfungen \ n550-5.7.26 nicht bestehen. Um unsere Nutzer bestmöglich vor Spam zu schützen, wurde die Nachricht \n550-5.7.26 blockiert.“

Als kurze Zusammenfassung DKIM fügt jeder gesendeten Nachricht eine digitale Signatur hinzu, die es den Zielservern ermöglicht, die Authentizität des Absenders zu überprüfen. Wenn die Nachricht von Ihrem Unternehmen stammt und die Adresse des Drittanbieters nicht verwendet wurde, um Ihre Identität zu verwenden.

Google Mail (Google) vielleicht lehnt automatisch alle Nachrichten ab aus Domänen kommen, die keine solche digitale DKIM-Semantik haben.

Was ist SPF und warum ist es wichtig für den sicheren E-Mail-Versand?

Genau wie DKIM und SPF zielt darauf ab, zu verhindern Phishing-Nachrichten si E-Mail-Spoofing. Auf diese Weise werden die gesendeten Nachrichten nicht mehr als Spam markiert.

Senderrichtlinien-Framework (SPF) ist eine Standardmethode zur Authentifizierung der Domäne, von der Nachrichten gesendet werden. SPF-Einträge werden auf gesetzt TXT-DNS-Manager Ihrer Domäne, und dieser Eintrag gibt den Domänennamen, die IP oder die Domänen an, denen es gestattet ist, E-Mail-Nachrichten unter Verwendung Ihres Domänennamens oder des Domänennamens Ihrer Organisation zu senden.

Eine SPF-freie Domain kann es Spammern ermöglichen, E-Mails von anderen Servern zu senden. Verwenden Sie Ihren Domainnamen als Maske. Auf diese Weise können sie sich ausbreiten falsche Information oder Es können sensible Daten angefordert werden im Namen Ihrer Organisation

Natürlich können Nachrichten weiterhin in Ihrem Namen von anderen Servern gesendet werden, aber sie werden als Spam markiert oder abgelehnt, wenn dieser Server- oder Domänenname nicht im SPF-TXT-Eintrag Ihrer Domäne angegeben ist.

Ein SPF-Wert im DNS-Manager sieht folgendermaßen aus:

@ : "v=spf1 a mx ip4:x.x.x.x ?all"

Wobei „ip4“ IPv4 auf Ihrem E-Mail-Server ist.

Wie stelle ich SPF für mehrere Domains ein?

Wenn wir andere Domänen autorisieren möchten, E-Mail-Nachrichten im Namen unserer Domäne zu senden, geben wir sie mit dem Wert "include„Im SPF-TXT:

v=spf1 ip4:x.x.x.x include:example1.com include:example2.com ~all

Das bedeutet, dass E-Mail-Nachrichten auch von unserem Domainnamen an example1.com und example2.com gesendet werden können.
Es ist eine sehr nützliche Aufzeichnung, wenn wir zum Beispiel eine haben Shop An der Adresse "Beispiel1.com„Aber wir wollen die Botschaften des Online-Shops an die Kunden hinterlassen Firmendomänenadresse, dieses Wesen "example.com“. Im SPF-TXT für „example.com“ nach Bedarf neben IP und „include: example1.com“ angeben. Damit Nachrichten im Namen der Organisation gesendet werden können.

Wie stelle ich SPF für IPv4 und IPv6 ein?

Wir haben einen Mailserver mit beiden IPv4 und mit IPv6, ist es sehr wichtig, dass beide IPs im SPF TXT angegeben sind.

v=spf1 ip4:196.255.100.26 ip6:2001:db8:8:4::2 ~all

Als nächstes nach dem "ip" die Direktive "include”Zum Hinzufügen autorisierter Domains für den Versand.

Was bedeutet das "~all","-all"Und"+allVom SPF?

Wie oben erwähnt, können Anbieter (ISPs) weiterhin E-Mails im Namen Ihrer Organisation empfangen, selbst wenn sie von einer Domäne oder IP gesendet werden, die nicht in der SPF-Richtlinie angegeben ist. Das „all“-Tag teilt den Zielservern mit, wie sie mit diesen Nachrichten von anderen nicht autorisierten Domänen umgehen und Nachrichten in Ihrem Namen oder im Namen Ihrer Organisation senden sollen.

~all : Wenn die Nachricht von einer Domäne empfangen wird, die nicht im SPT TXT aufgeführt ist, werden die Nachrichten auf dem Zielserver akzeptiert, aber sie werden als Spam oder verdächtig markiert. Sie unterliegen den Best Practices der Anti-Spam-Filter des Empfängeranbieters.

-all : Dies ist das strengste Tag, das einem SPF-Eintrag hinzugefügt wird. Ist die Domain nicht aufgeführt, wird die Nachricht als nicht autorisiert markiert und vom Provider abgewiesen. Es wird auch nicht geliefert macim Spam.

+all : Dieses Tag wird sehr selten verwendet und überhaupt nicht empfohlen. Es ermöglicht anderen, E-Mails in Ihrem Namen oder im Namen Ihrer Organisation zu senden. Die meisten Provider lehnen automatisch alle E-Mail-Nachrichten ab, die von Domains mit SPF TXT kommen."+all“. Eben weil die Authentizität des Absenders nicht verifiziert werden kann, außer nach einer „E-Mail-Header“-Prüfung.

Zusammenfassung: Was bedeutet Sender Policy Framework (SPF)?

• DNS-Cache deaktivieren und löschen - Windows 7, Vista und XP
• Verwenden Sie alternative DNS-Server für schnelleres Laden von Webseiten
• Wie Sie die DNS-Adresse in OS X zu ändern
• Wie Sie das DNS-Cache in OS X Reset
• Erhöhen Sie die Geschwindigkeit Surfen im Internet mit Google Public DNS

Autorisiert über die TXT/SPF-DNS-Zone, IPs und Domänennamen, die E-Mail-Nachrichten von Ihrer Domäne oder Ihrem Unternehmen versenden können. Es gilt auch die Konsequenzen, die für Nachrichten gelten, die von nicht autorisierten Domänen gesendet werden.

Was bedeutet DMARC und warum ist es wichtig für Ihren E-Mail-Server?

DMarc (Bericht und Konformität zur domänenbasierten Nachrichtenauthentifizierung) ist eng mit politischen Standards verknüpft SPF si DKIM.
DMARC ist ein Validierungssystem entworfen, um zu schützen Ihren E-Mail-Domänennamen oder den Ihres Unternehmens, Praktiken wie E-Mail-Spoofing und Phishing-Betrug.

Unter Verwendung der Kontrollstandards Sender Policy Framework (SPF) und Domain Keys Identified Mail (DKIM) fügt DMARC eine sehr wichtige Funktion hinzu. Berichte.

Wenn ein Domain-Inhaber DMARC im DNS-TXT-Bereich veröffentlicht, erhält er oder sie Informationen darüber, wer E-Mail-Nachrichten in seinem Namen oder dem Unternehmen versendet, das die durch SPF und DKIM geschützte Domain besitzt. Gleichzeitig wissen die Empfänger der Nachrichten, ob und wie diese Best-Practice-Richtlinien vom Eigentümer der sendenden Domain überwacht werden.

Ein DMARC-Eintrag in DNS TXT kann sein:

V=DMARC1; rua=mailto:report-id@rep.example.com; ruf=mailto:account-email@for.example.com; p=none; sp=none; fo=0;

In DMARC können Sie weitere Bedingungen für die Meldung von Vorfällen und E-Mail-Adressen für Analysen und Berichte festlegen. Es ist ratsam, dedizierte E-Mail-Adressen für DMARC zu verwenden, da die Menge der empfangenen Nachrichten erheblich sein kann.

DMARC-Tags können gemäß der von Ihnen oder Ihrer Organisation auferlegten Richtlinie festgelegt werden:

v - Version des bestehenden DMARC-Protokolls.
p - Wenden Sie diese Richtlinie an, wenn DMARC für E-Mail-Nachrichten nicht verifiziert werden kann. Es kann den Wert haben: „none","quarantine"Oder"reject“. Wird genutzt "none”, um Berichte über den Nachrichtenfluss und den Pin-Status zu erhaltensora.
rua - Es handelt sich um eine Liste von URLs, zu denen ISPs Feedback im XML-Format senden können. Wenn wir hier die E-Mail-Adresse hinzufügen, lautet der Link:rua=mailto:feedback@example.com".
ruf - Die Liste der URLs, an die ISPs Berichte über Cyber-Vorfälle und -Verbrechen senden können, die im Namen Ihrer Organisation begangen wurden. Die Adresse lautet:ruf=mailto:account-email@for.example.com".
rf - Berichtsformat für Cyberkriminalität. Es lässt sich formen“afrf"Oder"iodef".
pct - Weist den ISP an, die DMARC-Richtlinie nur für einen bestimmten Prozentsatz fehlgeschlagener Nachrichten anzuwenden. Zum Beispiel könnten wir haben:pct=50%"Oder Richtlinien"quarantine"Und"reject“. Es wird niemals akzeptiert werden."none".
adkim – Geben Sie „Ausrichtung“ an Mode” für digitale DKIM-Signaturen. Das bedeutet, dass die Übereinstimmung der digitalen Signatur eines DKIM-Eintrags mit der Domain überprüft wird. adkim kann die Werte haben: r (Relaxed) oder s (Strict).
aspf - Auf die gleiche Weise wie im Fall adkim „Ausrichtung“ ist angegeben Mode” für SPF und unterstützt die gleichen Werte. r (Relaxed) oder s (Strict).
sp – Diese Richtlinie gilt, um zuzulassen, dass von der Organisationsdomäne abgeleitete Subdomänen den DMARC-Wert der Domäne verwenden. Dies vermeidet die Verwendung separater Richtlinien für jeden Bereich. Sie ist praktisch ein „Wildcard“ für alle Subdomains.
ri - Dieser Wert legt das Intervall fest, in dem XML-Berichte für DMARC empfangen werden. Meistens ist eine tägliche Berichterstattung vorzuziehen.
fo - Optionen für Betrugsberichte. „gerichtlich options“. Sie können Werte von „0“ haben, um Vorfälle zu melden, wenn sowohl die SPF- als auch die DKIM-Überprüfung fehlschlagen, oder den Wert „1“ für das Szenario, in dem der SPF oder DKIM nicht vorhanden ist oder die Überprüfung nicht besteht.

Um sicherzustellen, dass Ihre E-Mails oder die Ihres Unternehmens Ihr Postfach erreichen, müssen Sie daher diese drei Standards berücksichtigen.Best Practices für das Versenden von E-Mails". DKIM, SPF si DMarc. Alle diese drei Standards gehören zu DNS TXT und können über den DNS-Manager der Domain verwaltet werden.