Термины DNS и почтовой безопасности простым языком
Технические стандарты остаются аббревиатурами, но их назначение и типичные проблемы можно понять без специального словаря.
DNS — Domain Name System
- Что это
- Система имён, которая связывает домен с IP-адресами и сервисами.
- Что делает
- Отвечает на запросы о веб-сайте, почте и других ресурсах домена.
- Почему важно
- Ошибка в DNS одновременно ломает сайт, почту и проверку безопасности.
- Типичная проблема
- Делегирование у регистратора не совпадает с авторитетными серверами.
MX — Mail Exchanger
- Что это
- DNS-запись с серверами, принимающими почту для домена.
- Что делает
- Указывает отправляющим серверам, куда доставлять входящие письма.
- Почему важно
- Без корректного MX письма не найдут принимающий сервер.
- Типичная проблема
- В записи указан несуществующий или недоступный хост.
SPF — Sender Policy Framework
- Что это
- TXT-политика разрешённых отправителей SMTP-конверта.
- Что делает
- Перечисляет сети и сервисы, которым разрешено отправлять почту.
- Почему важно
- Это один из сигналов аутентификации писем и основа для DMARC.
- Типичная проблема
- Несколько SPF-записей или более десяти DNS-поисков.
DKIM — DomainKeys Identified Mail
- Что это
- Криптографическая подпись письма с публичным ключом в DNS.
- Что делает
- Позволяет получателю проверить автора и целостность подписанных частей.
- Почему важно
- Поддерживает DMARC и защищает письмо от незаметного изменения.
- Типичная проблема
- Селектор отсутствует, ключ повреждён или отозван.
DMARC — Domain-based Message Authentication, Reporting and Conformance
- Что это
- Политика согласования видимого From со SPF или DKIM.
- Что делает
- Задаёт обработку писем, которые не подтверждают домен отправителя.
- Почему важно
- Это главный опубликованный контроль против подделки бренда.
- Типичная проблема
- Политика p=none собирает отчёты, но не требует защиты.
SMTP — Simple Mail Transfer Protocol
- Что это
- Протокол обмена почтой между почтовыми системами.
- Что делает
- Принимает и передаёт сообщения между MX-серверами.
- Почему важно
- Недоступный SMTP-сервер останавливает доставку входящей почты.
- Типичная проблема
- Сервер зависает, отклоняет соединение или отвечает ошибкой.
STARTTLS — STARTTLS
- Что это
- Команда SMTP для перехода на защищённый TLS-канал.
- Что делает
- Шифрует передачу после установления SMTP-соединения.
- Почему важно
- Снижает риск перехвата почты в пути.
- Типичная проблема
- Сервер рекламирует STARTTLS, но TLS-рукопожатие не проходит.
TLS — TLS
- Что это
- Протокол шифрования и проверки подлинности сетевого соединения.
- Что делает
- Защищает SMTP-сеанс и проверяет сертификат сервера.
- Почему важно
- Ошибочный сертификат может сорвать защищённую доставку.
- Типичная проблема
- Сертификат просрочен или имя хоста не совпадает.
CAA — Certification Authority Authorization
- Что это
- DNS-правило, ограничивающее центры сертификации.
- Что делает
- Указывает, какие CA вправе выпустить сертификат для домена.
- Почему важно
- Снижает риск ошибочного или несанкционированного выпуска.
- Типичная проблема
- Нужный CA не указан и не может продлить сертификат.
DNSSEC — DNS Security Extensions
- Что это
- Подписи DNS-данных, проверяемые валидирующим резолвером.
- Что делает
- Помогает обнаружить подмену DNS-ответа в пути.
- Почему важно
- Усиливает доверие к MX, TLSA и другим записям.
- Типичная проблема
- Подписанная зона становится BOGUS из-за DS или ключей.
MTA-STS — MTA-STS
- Что это
- Политика HTTPS для требования TLS при доставке почты.
- Что делает
- Публикует режим TLS и список допустимых MX-хостов.
- Почему важно
- Помогает защищать SMTP от downgrade-атак у поддерживающих отправителей.
- Типичная проблема
- TXT-запись есть, но HTTPS-политика недоступна или невалидна.
TLS-RPT — TLS-RPT
- Что это
- DNS-запись адресов для отчётов о проблемах SMTP TLS.
- Что делает
- Собирает агрегированные сообщения о неудачной защищённой доставке.
- Почему важно
- Показывает сбои, которые трудно заметить по обычным логам.
- Типичная проблема
- Адрес rua отсутствует или имеет неверный формат.
DANE — DNS-based Authentication of Named Entities
- Что это
- Проверка TLS-сервиса через DNSSEC-защищённую TLSA-запись.
- Что делает
- Связывает ключ или сертификат MX-сервера с DNS.
- Почему важно
- Добавляет независимую проверку подлинности при доставке почты.
- Типичная проблема
- TLSA не совпадает с фактическим сертификатом или сервисом.
PTR — Pointer record
- Что это
- Обратная DNS-запись от IP-адреса к имени хоста.
- Что делает
- Называет сервер, которому принадлежит адрес отправителя.
- Почему важно
- Репутационные проверки почты часто учитывают обратное имя.
- Типичная проблема
- У IP нет PTR или он указывает на нерелевантное имя.
FCrDNS — Forward-confirmed reverse DNS
- Что это
- Проверка согласованности PTR и прямого DNS-разрешения.
- Что делает
- Подтверждает, что имя из PTR возвращает исходный IP-адрес.
- Почему важно
- Даёт более сильный сигнал идентичности почтового сервера.
- Типичная проблема
- Прямое разрешение PTR-имени не возвращает исходный адрес.
RBL — RBL
- Что это
- Список репутации IP-адресов для защиты от спама.
- Что делает
- Позволяет получателю сопоставить IP с известными жалобами.
- Почему важно
- Листинг может понизить доставляемость или вызвать отклонение.
- Типичная проблема
- IP попал в устаревший или ошибочный листинг.
BIMI — Brand Indicators for Message Identification
- Что это
- Стандарт отображения проверенного логотипа бренда в почте.
- Что делает
- Связывает домен с брендовым индикатором при выполнении требований.
- Почему важно
- Помогает получателю узнавать подлинные сообщения организации.
- Типичная проблема
- DMARC не находится в enforcement или отсутствует VMC при необходимости.