К содержанию
App

Все статьи

Аудит почтового сервера

Аудит проверяет публичную почтовую настройку домена (DNS и SMTP) снаружи. В ящик не входит. Создайте в Facilities → Audit.

Аудит бесплатный. Платные опции идут через Cart и Checkout.

Перед началом

  1. Создайте facility domain (FQDN) и server.
  2. Создайте email server, свяжите оба и задайте DKIM selector (например google или s1). Без селектора DKIM пропускается и даёт 0 как предупреждение.
  3. New audit, выберите этот email server.

Запуск проверок

На странице аудита: Run all checks или DNS одной карточкой и SMTP STARTTLS отдельно. Список аудитов запускает все проверки так же.

Статусы:

  • PASS — проверка успешна
  • FAIL — проблема в DNS или SMTP (красный)
  • ERROR — проверка не завершилась (таймаут, отказ); повторите (жёлтый)

Оценка

Итог после всех одиннадцати проверок (DKIM без селектора — 0 / warning). Веса в сумме 100:

CheckWeight
MX15
SPF12
DKIM12
DMARC12
MX hosts10
PTR10
SMTP10
DNS block lists10
MTA-STS4
BIMI3
TLS-RPT2

100 — зелёный. Ниже 100 — жёлтый, если только warning, красный при любом FAIL. Тире — не все проверки запускались.

MX records (mx)

Проверяет MX домена по предпочтению. Нет MX — FAIL. Приоритет 0 и exchange . — null MX (почта не принимается) и тоже FAIL.

Исправление: опубликуйте MX на хосты, принимающие почту, или null MX, если домен не должен принимать почту (этот аудит всё равно провалится).

MX hosts (mx-hosts)

У каждого имени MX должны быть A или AAAA, не CNAME. AAAA может отсутствовать. Null MX — FAIL.

Исправление: MX на hostname с собственными A/AAAA, не CNAME.

PTR (ptr)

У каждого адреса MX должен быть PTR, который резолвится обратно на тот же адрес. PTR, отличающийся от имени MX, записывается и всё равно PASS.

Исправление: попросите владельца IP выставить PTR, затем A/AAAA этого имени на IP.

SMTP STARTTLS (smtp)

TCP 25 на каждый MX: баннер 220, EHLO, предложен STARTTLS, сертификат на имя MX, действующий, TLS 1.2 или 1.3. Отказ или таймаут — ERROR.

Исправление: слушать 25, STARTTLS, сертификат на hostname MX.

DNS block lists (dnsbl)

IPv4/IPv6 каждого MX: zen.spamhaus.org, bl.spamcop.net, psbl.surriel.com. Домен и имена MX: dbl.spamhaus.org. Только подтверждённый listing — FAIL. Ошибки соединения — ERROR.

Исправление: проверьте listing, устраните злоупотребление, страница removal у списка.

SPF (spf)

Ровно один TXT v=spf1. all последним, -all или ~all. Не больше 10 DNS lookup. +all, ?all, нет all, ptr, два записи или цикл redirect — FAIL.

Исправление: одна SPF-запись, -all или ~all, includes меньше 10 lookup.

DKIM (dkim)

TXT {selector}._domainkey.{domain} (CNAME следует). Одна запись, непустой p=, без t=y. RSA ≥ 2048; k=ed25519 — PASS. Пустой p=, test mode, короткий RSA или нет записи — FAIL.

Исправление: селектор на email server, публичный production-ключ.

DMARC (dmarc)

Один TXT v=DMARC1 на _dmarc.{domain}, p=quarantine или p=reject, pct нет или 100. p=none или pct < 100 — FAIL. Внешний rua=mailto: требует {domain}._report._dmarc.{rua-domain}.

Исправление: quarantine или reject на 100%, авторизуйте внешние rua.

MTA-STS (mta-sts)

TXT v=STSv1; id=... на _mta-sts.{domain}, затем HTTPS https://mta-sts.{domain}/.well-known/mta-sts.txt без редиректов. Режим enforce, max_age > 0, каждый живой MX совпадает с шаблоном mx (* — одна левая метка). testing / none — FAIL.

Исправление: TXT и HTTPS-политика enforce со списком MX.

TLS-RPT (tls-rpt)

Один TXT v=TLSRPTv1 на _smtp._tls.{domain} с rua mailto: или https:.

Исправление: TXT отчётов TLS с ящиком или HTTPS, который вы читаете.

BIMI (bimi)

Один TXT v=BIMI1 на default._bimi.{domain} с HTTPS l=. DMARC quarantine или reject. URL логотипа 200, image/svg+xml, без редиректа. a= (VMC) сохраняется и не обязателен для PASS.

Исправление: SVG Tiny PS по HTTPS, DMARC на enforcement, затем BIMI TXT.

Требования почтовых провайдеров

Это не отдельные проверки Emperor; они объясняют, зачем нужны SPF, DKIM, DMARC и PTR:

Статьи