A céges levelezés ma üzletileg kritikus csatorna: visszaigazolások, határidős értesítők, hivatalos dokumentumok futnak rajta. Ha egy ilyen levél nem érkezik meg, az nem apró kényelmetlenség, hanem kimaradt határidő vagy elmaradt dokumentum.
A levélkézbesítés sikere ma jelentős részben a fogadó oldal beállításain múlik. A modern levelezőrendszerek több réteg szűrőt futtatnak egymásra épülve (SPF-, DKIM-, DMARC-ellenőrzés, greylisting, tartalom- és csatolmányszűrés), és ezek finomhangolása dönti el, hogy egy szabályos feladó levele megérkezik-e, vagy észrevétlenül fennakad.
Ezek a beállítások a központi levelezőrendszerben élnek, nem a felhasználó postafiókjában, ezért a helyes beállítás informatikus, rendszergazda feladata. Az alábbi lépések szabványosak, és nem gyengítik a biztonságot.
Honnan érkeznek a fiREG levelei
A feladó domain a fireg.hu; a tranzakciós küldést a mailgun.fireg.hu aldomain végzi, egy EU-s kézbesítő szolgáltatón keresztül. A fireg.hu SPF-rekordja az include:eu.mailgun.org bejegyzéssel a kézbesítő teljes, publikált küldő-tartománylistáját tartalmazza.
Minden levél DKIM-aláírt a mailgun.fireg.hu kulcsával (selector: mailo, RSA). A fireg.hu DMARC-szabálya p=quarantine, pct=100, jelentésküldéssel. A valódi fiREG-levél mindkét ellenőrzésen átmegy.
Mit állíts be a fogadó oldalon
Dönts a hitelesítés alapján! Állítsd be, hogy a gateway kiértékelje az SPF, DKIM és DMARC eredményt, és a DMARC pass eredményű levelet ne tedd tartalmi heurisztika alapján karanténba! A hitelesített, ismert feladójú tranzakciós levél tartalomszűrése hamis riasztást termel.
Az engedélylistát domainre tedd, ne egyedi IP-re! A feladó domainre (fireg.hu és mailgun.fireg.hu) és az SPF-rekordban publikált tartományokra hivatkozz, ne egy-egy kézzel kimásolt IP-címre! A kézbesítő megosztott IP-készletből küld, így egy fix IP holnap már rossz lehet.
A hitelesített feladókat mentesítsd a greylisting alól! Megosztott IP-készletnél a greylisting leveleket veszíthet, mert az újrapróbálkozás más IP-ről jön. Engedd, hogy az SPF pass eredményű és engedélylistás domainek mentesüljenek alóla!
Engedd be a PDF-csatolmányt a hitelesített fireg.hu feladótól, és ne akadályozd a fireg.hu-ra mutató linkeket! A felhasználói biztonságos feladó lista nem elég, mert a gateway korábban dönt: a beállítást a központi levélszűrőben keresd!
Ellenőrzőlista a rendszergazdának
SPF, DKIM és DMARC kiértékelés bekapcsolva, a DMARC pass levél nem kerül tartalmi karanténba. Engedélylista a fireg.hu és mailgun.fireg.hu domainre, az SPF teljes tartományára. Greylisting-mentesség az SPF pass feladóknak. PDF-csatolmány engedélyezve a hitelesített fireg.hu feladótól. Nincs automatikus külső-feladó-levélszemét szabály a hitelesített domainre.
Amire nincs szükséged
Nem kell egyedi IP-címeket rögzítened, nem kell a biztonsági szabályokat kikapcsolnod, és nem kell a fiREG-nek speciális kivételt adnod. Ugyanezeket a beállításokat alkalmazza minden szakszerűen üzemeltetett levelezőrendszer bármely hiteles, hitelesített feladónál (bank, közmű, számlázó, hatósági rendszer).