O que o SPF realmente faz?

Digamos que um spammer falsifique um endereço hotmail.com e tente enviar spam para você. Eles se conectam de outro lugar além do Hotmail. Quando a mensagem dele é enviada, você vê MAIL FROM: <forged_address@hotmail.com>, mas não precisa acreditar na palavra dele. Você pode perguntar ao Hotmail se o endereço IP vem da rede deles. O Hotmail publica um registro SPF. Esta entrada informa a você (seu computador) como saber se o dispositivo de envio tem permissão para enviar mensagens do Hotmail. Se o Hotmail disser que reconhece a máquina de envio, ele será enviado e você poderá presumir que o remetente é quem ele diz ser. Se a mensagem não passar no teste SPF, então é spam.

O que é FPS e por que está dificultando minha vida?

O Sender Policy Framework (SPF) é uma tentativa de controlar o e-mail falsificado. O SPF não está diretamente relacionado à interrupção do spam - spam. Trata-se de dar aos proprietários de domínio a capacidade de determinar quais fontes de e-mail são legais para seu domínio e quais não são. O SPF é um protocolo desenvolvido por um grupo de voluntários motivados que compartilham um desejo comum de melhorar a Internet. Este NÃO é um produto comercial oferecido por uma corporação comercial. O protocolo SPF está sendo adotado por um número crescente de hosts de domínio e provedores de serviços de Internet (ISPs) e, como acontece com qualquer avanço na tecnologia, haverá alguns solavancos ao longo do caminho. Embora as pessoas por trás deste site e as pessoas que ajudaram a desenvolver o SPF possam ajudá-lo a descobrir como lidar com os problemas quando eles surgirem, eles não são diretamente responsáveis pelos problemas que você possa encontrar.

Não sou programador, não entendo como usar o SPF, o correio será entregue normalmente?

Em primeiro lugar, se você não gerencia seu registro DNS diretamente (a maioria de nós não o faz) ou não sabe o que tudo isso significa, a maneira mais rápida de encontrar uma solução é ligar para o departamento de suporte técnico do seu ISP. Informe-os sobre o problema que você está tendo se o problema estiver relacionado apenas a e-mails enviados de sua conta de e-mail comercial/residencial. Em segundo lugar, se você tiver seu próprio domínio, entre em contato com o suporte do seu hoster.

O SPF é uma ferramenta para o proprietário do domínio. Se você não for o proprietário do domínio e o domínio em seu endereço de e-mail tiver um registro SPF, sim. Se você for proprietário de um domínio e administrar seu próprio domínio, poderá optar por implementar o SPF ou não. Caso contrário, seu domínio ficará vulnerável a hackers ou spammers que desejam usar seu domínio como fachada para suas atividades ilegais.

Eu tenho o meu próprio domínio e gostaria de corrigir o meu registo SPF?

Este artigo fornece instruções passo-a-passo completas sobre como criar e anexar um registo SPF ao seu domínio, se não for capaz de o fazer você mesmo, contacte o seu ISP ou a equipa de apoio ao alojamento.

Você pode fazer DNS com SPF, DKIM, DMARC e usar os protocolos POP3 e IMAP4

No artigo anterior, vimos como instalar o Exchange Server e como configurá-lo para executar um servidor de correio. No mesmo, continuaremos a falar sobre o que você precisa fazer para que suas cartas cheguem ao destinatário e não acabem em spam, e também falaremos sobre como configurar o correio POP3 e IMAP4 protocolos.

Conteúdo

Para que seus e-mails a caminho do destinatário passem na verificação e não entrem no spam, você precisa adicionar registros SPF, DKIM e DMARC à sua hospedagem DNS.

SPF, DKIM e DMARC são configurações básicas que devem ser feitas antes de iniciar o servidor de correio. Esses registros impedem que golpistas enviem e-mails maliciosos em seu nome e, se eles estiverem ausentes, a mensagem pode não chegar ao destinatário.

Vá para ver

Cómo añadir registros DNS SPF, DKIM, DMARC y configurar protocolos de correo POP3 и IMAP4

Como criar um registro SPF

Registro SPF (Sender Policy Framework) – fornece entendimento mútuo entre os servidores de e-mail do remetente e do destinatário. Ele contém informações sobre quais servidores de e-mail têm permissão para enviar e-mails em seu nome.

Sem a presença de um registro SPF, muitos serviços de e-mail podem enviar todos os e-mails enviados de caixas de correio de domínio para spam, independentemente de seu conteúdo. O registro SPF é publicado nos servidores DNS que atendem ao domínio.

Vá para o painel de controle da sua hospedagem DNS. E crie um registro txt preenchendo todos esses campos. A entrada contém as seguintes chaves: versão spf, endereço IP do domínio, v=spf1 — versão SPF.

Chave – a – define regras para um domínio específico, comparando o endereço IP do remetente com o endereço IP especificado nos registros A do domínio.

mx – inclui todos os endereços de servidor especificados nos registros MX do domínio.

O caractere til ~ é um desvio. O e-mail será aceito, mas será marcado como spam.

all — todos os endereços não especificados na entrada.

Tags adicionais podem ser instaladas posteriormente, mas por enquanto clique em – Salvar.

Parâmetros que definem o comportamento das chaves especificadas:

+ é um parâmetro que indica a aceitação de cartas (Pass). Definido por padrão, se não houver outros.
– – rejeitar (falha). A carta não será aceita.
~ – desvio “suave” (SoftFail). O e-mail será aceito, mas será marcado como spam.
? – percepção neutra do remetente.

Chaves para definir nós:

mx – inclui todos os endereços de servidor especificados nos registros MX do domínio.
ip4 – especificando IPs específicos.
ptr — verifica o registro PTR quanto à presença do domínio especificado.
existe – verificação de integridade do domínio. É importante notar que esta verificação também dará uma resposta positiva se endereços como 127.0.0.1 forem usados, etc., o que torna seu uso bastante duvidoso.
a – aplica as regras a um domínio específico comparando o endereço IP do remetente com o endereço IP especificado nos registros A do domínio.
incluir — uso de nós permitidos especificados nos registros SPF de outro domínio.
redirect – A regra indica que a política SPF usada para este domínio é especificada em outro domínio. Até certo ponto, análogo a incluir, ignorando os registros do domínio atual.
all — todos os endereços não especificados na entrada.

Como criar uma entrada DKIM

O segundo nível de proteção ao transferir entre servidores de e-mail é o DKIM (DomainKeys Identified Mail). Ele adiciona uma assinatura digital às mensagens de e-mail originais. O destinatário usa essa assinatura para autenticar e-mails.

O servidor do destinatário envia uma consulta DNS e recebe uma chave pública, que é colocada em um registro DNS. Ele usa essa chave para verificar a carta. Se as chaves coincidirem, a carta chega ao destinatário, caso contrário vai para Spam.

Por padrão, o MS Exchange Server não suporta DKIM. Para configurá-lo no Exchange, você precisa instalar um agente de transporte de terceiros – Exchange DKIM Signer.

https://github.com/Pro/dkim-exchange/releases/tag/v3.4.0

https:/ /www.collaborationpro.com/exchange-2016-2019-implementing-dkim/

Após a instalação, você precisa configurá-lo. Execute o aplicativo, na janela que se abre, clique em – Configurar, aqui certifique-se de que o agente – Exchange DKIM Signer tenha a prioridade mais baixa (é o último no lista). Isso é necessário para que as cartas sejam assinadas na última etapa, após todas as possíveis modificações que outros agentes de transporte farão.

A guia “Configurações DKIM” especifica quais campos serão rotulados. O padrão é: De, Assunto, Para, Data, ID da mensagem.

As configurações de domínio são definidas na guia Configurações de domínio. Clique em Adicionar, especifique o nome do domínio, seletor (nome do registro DNS). Aqui você pode gerar uma chave ou especificar sua localização. Para criar uma chave pública, clique em – Gerar nova chave, após o que ela aparecerá nesta janela.

Em seguida, vá para o painel de controle de hospedagem de domínio e crie um registro txt, dê a ele o nome mail._domainkey e, no campo Valor, cole sua chave pública. Feitas as configurações, dentro do programa, clique no botão “Salvar domínio”. As configurações são aplicadas automaticamente.

Criar um novo registro DNS com uma chave DKIM

Como adicionar uma entrada DMARC

E, finalmente, vamos ver o que é DMARC (Autenticação, relatórios e conformidade de mensagens baseadas em domínio). Este é o próximo passo na proteção após SPF e DKIM. Esta entrada define o que fazer com as mensagens se elas não forem autenticadas com SPF e DKIM. Esta é a regra definida para e-mails enviados em seu nome.

DMARC - Autenticação de mensagem baseada em domínio, relatórios e conformidade

Antes de instalar o DMARC, é importante certificar-se de que SPF e DKIM estão escritos corretamente, caso contrário, pode resultar na filtragem de seus e-mails. Para configurar o DMARC, no painel de controle da sua hospedagem DNS, crie um registro txt _dmarc.

Onde você precisa especificar pelo menos a versão e a política do mecanismo. Ao configurá-lo como uma política pela primeira vez, é recomendável especificar – nenhum (não faça nada além de enviar relatórios).

No futuro, será possível alterar a entrada apertando-a adicionando as tags necessárias.

v é a versão DMARC.
p é uma regra para um domínio. Pode assumir um dos seguintes valores:
- nenhum – não faz nada além de enviar relatórios.
- quarentena — adicione mensagens ao spam.
- rejeitar — rejeitar e-mails.
sp é uma regra para subdomínios. Pode assumir os mesmos valores de p.
aspf e adkim – permitem verificar os registros SPF e DKIM. Pode assumir valores:
- r (relaxado) – verificação suave.
- s (estrito) — correspondência estrita.
pct — número de e-mails a serem filtrados, em porcentagem.
pct — número de e-mails a serem filtrados, em porcentagem.
ruf – define o e-mail para o qual relatórios sobre cartas que não passam na verificação do DMARC devem ser enviados.
fo – define as condições para geração de relatórios. Pode assumir valores:
- 0 – envie um relatório se nem a autenticação SPF nem DKIM for aprovada. Valor padrão.
- 1 — envie um relatório se uma das autenticações — SPF ou DKIM — não for aprovada.
- d – envie um relatório se a autenticação DKIM falhar.
- s – envie um relatório se a autenticação SPF falhar.

Isso conclui a configuração do e-mail, agora envie um e-mail de teste da sua caixa de entrada para verificá-lo.

Como configurar serviços de e-mail IMAP e POP3 no Exchange Server

https://learn.microsoft.com/en-us/exchange/clients/pop3-and-imap4/configure-imap4?view=exchserver-2019

Agora vamos configurar os serviços de correio POP3 e IMAP4. Por padrão, os serviços POP3 e IMAP4 estão desabilitados no Exchange. Para configurar as conexões do cliente via IMAP e POP3, você precisa iniciá-las e configurar o início automático.

Abra – Serviços, encontre o serviço – Microsoft Exchange IMAP4, defina o tipo de inicialização como Automático e inicie o serviço, então Aplicar e Ok.

Início de um serviço Microsoft Exchange IMAP4

Em seguida, realizamos as mesmas manipulações com o serviço – Microsoft Exchange IMAP4 Backend, Microsoft Exchange POP3 e Microsoft Exchange POP3 Backend. Depois de iniciar os serviços, você precisa configurar o certificado. Abra o Painel de Controle do Exchange, vá para – Servidores – Certificados.

Painel de Controle do Exchange - Servidores - Certificados

Abra o certificado SSL clicando duas vezes nele com o botão esquerdo do mouse, vá para a guia – Serviços e marque as caixas ao lado – IMAP e POP e Salvar.

O próximo passo é associar o domínio aos serviços pop3 e imap. Abra – Iniciar, Microsoft Exchange Server – Exchange Management Shell e execute o comando:

Digite o primeiro comando para o serviço POP3, aqui você precisa especificar o domínio externo: porta 995 e SSL, depois novamente o domínio com a porta 110, e no final especificamos o nome do certificado. Abra o certificado no painel de controle e copie o nome.

Set-PopSettings -ExternalConnectionSettings “mail.hetmansoftware.com:995:SSL”, “mail.hetmansoftware.com:110:TLS” -x509CertificateName hetmansoftware.com

Depois de executar o comando, você precisa reiniciar o serviço POP3, na janela de serviços, clique com o botão direito do mouse no serviço - Reiniciar. E o segundo serviço POP3 back-end.

Em seguida, execute o comando para vincular o serviço - IMAP.

Set-ImapSettings -ExternalConnectionSettings “mail.hetmansoftware.com:993:SSL”, “mail.hetmansoftware.com:143:TLS” -x509CertificateName hetmansoftware.com

Reinicie o serviço depois. IMAP e IMAP backend.

O próximo passo é verificar e se você precisa abrir portas para estes serviços em sua rede: 995, 993, 110 e 143. Abra as configurações de rede e portas abertas para o servidor Exchange.

A próxima coisa a fazer é alterar os parâmetros do conector de recepção. No painel de controle, vá para a seção - Fluxo de email - Conectores de recebimento - Troca de front-end do cliente.

Fluxo de correio – receber conectores – Client Frontend exchange

Abrir guia - escopo, FQDN - altere o domínio de interno para externo - mail.hetmansoftware.com. e clique em Salvar .

FQDN - alterar domínio de interno para externo

A próxima etapa é especificar o certificado que será usado para criptografar as conexões SMTP. Primeiro você precisa descobrir o ID do certificado que queremos associar aos serviços.

Abra o Exchange Shell e execute o seguinte comando:

Get-exchangecertificate

Copie o valor do certificado - Impressão digital.

https://learn.microsoft.com/en-us/exchange/clients/pop3-and-imap4/configure-authenticated-smtp?view=exchserver-2019

Em seguida, especifique o certificado usado para criptografar conexões de cliente SMTP autenticadas. Para fazer isso, você precisa executar três comandos.

Execute o primeiro comando:

$TLSCert = Get-ExchangeCertificate -Thumbprint <ThumbprintValue>

adicione este valor de certificado no final.

Após o segundo comando:

$TLSCertName = "<I>$($TLSCert.Issuer)<S>$($TLSCert.Subject)"

E então o terceiro comando:

Get-ReceiveConnector -Identity "Client Frontend*" | Set-ReceiveConnector -TlsCertificateName $TLSCertName

Para garantir que você especificou o certificado usado para criptografar conexões de clientes SMTP autenticadas, execute o seguinte comando:

Get-ReceiveConnector -Identity "Client Frontend*" | Format-List Name,Fqdn,TlsCertificateName

Verificando a exatidão do certificado atribuído

Isto lhe dará o nome do certificado, este deve ser o nome do certificado que você especificou. A próxima etapa é verificar se esses protocolos estão habilitados no nível da caixa de correio, se estiverem desabilitados nas caixas de correio, os usuários não poderão configurar seus perfis no Outlook para usar POP3 e IMAP4. Eles devem ser ativados por padrão.

Para verificar, abra o Painel de controle do Exchange, vá para a seção - destinatários - caixas de correio, abra a conta desejada ( caixa de correio) - e vá para a seção - recursos da caixa de correio, aqui verifique se o valor está definido - Ativar, para esses serviços.

Verifique se os protocolos estão ativados no nível da caixa de correio

Vá para ver

Cómo instalar y configurar Exchange Server 2019. Active Directory Domain Services

E para verificar o funcionamento dos serviços, execute o comando:

-Test

Test-PopConnectivity -ClientAccessServer expc -Lightmode -MailboxCredential (Get-Credential)

Digite a senha. E aqui está o resultado bem-sucedido

Em seguida, execute o mesmo comando para IMAP

Test-ImapConnectivity -ClientAccessServer expc -Lightmode -MailboxCredential (Get-Credential)

Senha da conta. Esta configuração também funciona.

Verifique os serviços POP3 e IMAP

Para garantir que você habilitou e configurou o IMAP4 em seu servidor Exchange, siga estes procedimentos:

No site da Microsoft, você pode usar um serviço especial que verificará os protocolos POP3 e IMAP. https://testconnectivity.microsoft.com/tests /Imap/entrada

Verificando se o IMAP está funcionando no site da Microsoft

Preencha todos os campos obrigatórios e clique em - Realizar verificação. A verificação foi bem-sucedida, mas com um aviso. O problema é que a Microsoft não pode verificar a cadeia de certificados. Este recurso pode estar desativado ou configurado incorretamente no servidor.

Quanto ao certificado SSL, tenho 100% de certeza, então você pode ignorar este aviso. O serviço está funcionando bem.

Em seguida, vamos verificar o protocolo POP3.https://testconnectivity.microsoft.com/tests/pop/input

Fazemos tudo de acordo com o mesmo princípio, preenchemos os campos e clicamos - Realizar verificação. A verificação foi bem-sucedida.

Agora vamos verificar como vai o correio. No Outlook, vamos configurar uma conexão via protocolo IMAP ou POP3. E envie um e-mail de teste.

Agora o e-mail não acaba em spam e vai direto para o destinatário sem nenhum erro.

Erros

Agora vamos ver alguns erros que podem ocorrer quando os registros DNS estão configurados incorretamente ou ausentes.

Erro 550 Falha na verificação do SPF. Ou se um aplicativo anti-spam estiver instalado no servidor Microsoft Exchange, o erro pode ser semelhante a este:

SMTP; 550 5.7.1 550 Message rejected because SPF check failed.

Este erro significa que o domínio do remetente tem um registro SPF inválido ou que o remetente está usando um endereço de e-mail falso.

Se o registo DNS - SPF estiver em falta, incorrectamente configurado ou desactivado ao enviar um e-mail para um endereço de e-mail externo, poderá receber uma mensagem de erro como esta: mx.google.com rejeitou as suas mensagens para os seguintes endereços de e-mail.

Para resolver isto, adicione um registo SPF no seu alojamento DNS.

O seguinte erro pode ocorrer ao verificar uma entrada DMARC:

Message Failed DMARC Compliance

Message Failed Verification Tests & is not DMARC Compliant

Este erro significa que a mensagem falhou a autenticação e não está em conformidade com DMARC. Um erro em conformidade com DMARC significa que os testes de verificação SPF e DKIM falharam. Estas falhas podem afectar negativamente a entrega de correio electrónico porque as caixas de correio não podem verificar a autenticidade do seu correio electrónico.

É assim que se parece o erro de entrada do DKIM:

"DKIM-Result: fail (bad signature)"

Esse erro geralmente aparece durante a configuração inicial do DKIM, após uma atualização de aplicativo ou após uma migração de servidor.

Muitas vezes, o problema é causado por erros na gravação de tags ou na configuração da chave pública. Se não houver entrada DKIM ou estiver configurado incorretamente, você verá um aviso na carta recebida, o mesmo se aplica à entrada DMARC. Se a letra tiver esta aparência, altere as configurações da entrada correspondente.

Conclusão

Portanto, consideramos um conjunto simples e sem problemas de ferramentas padrão disponíveis para todos os administradores para ajudar a fortalecer a segurança dos servidores de correio da Microsoft. Registros DKIM, SPF e DMARC configurados corretamente permitirão que você minimize o fluxo de spam, listas de e-mail e vários e-mails maliciosos. Mostrei apenas as configurações básicas e o princípio de operação, configurações mais precisas são necessárias para proteção total.