E-mailová autentizace pro čerstvě koupenou doménu

Doménu je nejsnazší zabezpečit v den registrace: žádní zděděné odesílatelé k inventuře, žádný provoz k rozbití, žádná reputace k ochraně — a žádná historie zneužití k odčinění. Každý krok, který zralou doménu stojí týdny opatrného postupu, stojí čerstvou minuty. Tady je pořadí.

První rozhodnutí: bude vůbec odesílat?

Spousta nových domén nikdy neodesílá — ochrana značky, budoucí projekt, .com vedle vašeho .cz. U těch přeskočte rovnou k uzamčení: SPF, které neautorizuje nic, DMARC na reject a žádné DKIM klíče ke zveřejnění. Celý recept i s odůvodněním je v průvodci pro neodesílající domény. Zamknout zaparkovanou doménu první den stojí pět minut a trvale ji vyřadí ze spoofingové výbavy.

Pro odesílající doménu: záznamy prvního dne

Zveřejněte SPF jmenující vaše skutečné odesílatele — include vašeho mailhostingu plus případnou transakční službu — a nic víc; mladý záznam se dvěma položkami je záznam, kterému rozumíte. Zapněte DKIM u každého odesílatele v den připojení, podepsané vaší doménou, a udělejte si z toho návyk: každý budoucí nástroj dostane DKIM v rámci připojování, ne dodatečně, až reporty někoho ztrapní. DMARC zveřejněte hned, s reportovací adresou — u čerstvé domény není důvod ostýchat se začít na p=quarantine, protože tu nejsou žádní neznámí zděděné odesílatelé k ochraně; pokud chcete napřed jistotu, podržte none na týden dva reportů.

Doplňte transportní dvojici — MTA-STS a TLS-RPT — když už v DNS konzoli stejně jste; na nové doméně je obojí copy-paste. A pokud doména poštu ani nepřijímá, null MX to řekne explicitně.

Proč na prvním dni záleží víc, než se zdá

Přijímače hodnotí domény podle historie a doména autentizující 100 % pošty od úplně první zprávy si staví správnou historii od zprávy jedna. A je tu i méně zjevný důvod: spooferové skenují mladé nechráněné domény právě proto, že je ještě nikdo nesleduje. Registrované jméno bez DMARC je otevřená pozvánka přesně v okně, kdy byste si ničeho nevšimli.

Návyk k zavedení spolu se záznamy: sledujte, co se vrací. Přidejte doménu do monitoringu první den a první report, první neznámý odesílatel i první posun v záznamu přijdou jako push, ne jako překvapení. Bezplatná kontrola ukáže, jak záznamy vypadají právě teď.

Související: I doména, která neposílá žádnou poštu, potřebuje DMARC · Z p=none na p=reject bez rozbití vlastní pošty.

Zkontrolujte si doménu zdarma — přečte veřejné DNS a oznámkuje, co v něm je.