Vlákno názorů k článku MTA-STS: bezpečné doručování pošty s platnými TLS certifikáty od H0ax - Na poslání mailu dneska potřebuju spf, dkim, dmarc,...
-
H0axZlatý podporovatelNa poslání mailu dneska potřebuju spf, dkim, dmarc, ptr, nebýt na spamlistu, nebýt na nějakým rating serveru typu return-path blbě hodnocenej, používat šifrování, aby gmail neukazoval červenej zámeček a teďka ještě webserver a další bordel do dns. Přitom ani tohle všechno mi nezaručí, že mail doručím.
Příklad z poslední doby:
vlastním celý IP prefix /22 nově přidělený od RIPE. Chci poslat mail na domény hostující u MS z některé z IPček. Mail není doručen, 550 IP banned. Celý rozsah se nenachází nikde na žádném blacklistu. Mail odpovídá požadavkům na spf, dkim. Řeším s indickou podporou 14 dní problém, kdy mi 2x oznámí, že už to jde a přesto to nejde. Nakonec včera již oznámili, že to půjde, opravdu to jde, ale maily končí v Junkfolderu. Po shlédnutí hlaviček a odfiltrování 90% sraček, který tam přidává MS exchange zjišťuju, že DKIM FAIL. Opakuji test a posílám tu samou zprávu na MS i gmail. U MS opět fail, u gmailu hlási DKIM PASS. Dočítám se, že MS často rozjebe mail tak, že dkim jde do prčic. Poslal jsem to opět do indie, ať si mají s čím hrát.
Nakonec jsem jen tak na test poslal mail z mojí soukromé domény a úplně jiné IP patřící mému housingu. IP mám od nich několit let, spam neposílám, maily většinou přijímám a odesílám jen málo. Přesto po odeslání mailu na MS končím také v Junku.Jinak samozřejmě ani jedno z těchto opatření mě neochrání před spamem. Ten dostávám celkem pravidelně, projde to mailscannerem i rspamd. Samozřejmě spamy mají v pořádku spf i dkim.
Řešit maily je boj s větrnými mlýny, nedivím se, že lidi prostě hostujou u MS nebo G, kdo by se s tím chtěl crcat. Na druhou stranu, asi těch mailů moc nedostanou.
-
H0axZlatý podporovatel
On i gmail má máslo na hlavě. Jejich selectory mají chybnou syntaxi, nicméně z nějakého důvodu to stejně nikomu nevadí a dkim test bude pass.
Příklad:
host -t txt 20161025._domainkey.gmail.com20161025._domainkey.gmail.com descriptive text "k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAviPGBk4ZB64UfSqWyAicdR7lodhytae+EYRQVtKDhM+1mXjEqRtP/pDT3sBhazkmA48n2k5NJUyMEoO8nc2r6sUA+/Dom5jRBZp6qDKJOwjJ5R/OpHamlRG+YRJQqR" "tqEgSiJWG7h7efGYWmh4URhFM9k9+rmG/CwCgwx7Et+c8OMlngaLl04/bPmfpjdEyLWyNimk761CX6KymzYiRDNz1MOJOJ7OzFaS4PFbVLn0m5mf0HVNtBpPwWuCNvaFVflUYxEyblbB6h/oWOPGbzoSgtRA47SHV53SwZjIsVpbq4LxUW9IxAEwYzGcSgZ4n5Q8X8TndowsDUzoccPFGhdwIDAQAB"
-
GMail dlhodobo zhorsuje moznost forwardovat nan maily.
Po prestudovani https://serverfault.com/a/375465/24187 sa klient rozhodol ze bude hostovat u G.
Ono je za tym skvela (aj ked vydieracska) obchodna politika: pri forwarde mailu na strane google SMTP servera odpovedat RECEIVED a na strane gmailu ten mail pre non-g-suite domenu sprosto zahodit (ani nie do spamu, proste hodit na zem a nedorucit). Tym cloveka v podstate donutia prestat pouzivat cielove gmail konto kam sa tie maily forwarduju a alebo si zaplatit tych 5€/user/mesiac za najmensi g suite.
Vacsina ludi je spokojnych s gmailom takze zaplati.Je tam este moznost nerobit forward ale POP3 pull, ale gmail stale pritvrdzuje podmienky pre nastavenie POP3 servera s ktorym sa bude bavit takze to vidim len ako odlozenie nutnosti prejst na G suite.
Asi sa to da aj inak, ale s malymi klientami sa s tym nikomu nechce hrat.
