search

okfnfr / dada-core

2 stars 2 forks source link

Serveur mail - Problèmes d'envoi possibles? #6

Open laurentS opened 5 years ago

laurentS commented 5 years ago

Faire tourner son propre serveur mail semble être de plus en plus difficile, parce que les serveurs des gros domaines (google, etc...) ont apparement tendance à classer tous les emails venant de serveurs "indépendants" comme spam.

Il faudrait rechercher ce qui est possible, afin de ne pas se trouver dans une situation où l'on ne peut plus envoyer de mails, vu leur role central pour la plateforme.

laurentS commented 5 years ago

Quelques tips ici https://alaveteli.org/docs/running/server/#email-configuration

laurentS commented 5 years ago

Checklist (merci Gandi!): Verifier les points problématiques avec par exemple: https://www.hardenize.com

Serveur mail

DNS

application (alaveteli)

pzwsk commented 5 years ago

J'imagine que c'est un pb récurrent pour les plateformes alaveteli.

Ça vaudrait le coup d'en parler à Oslo ou avant.

On Mon, Sep 2, 2019 at 2:02 PM Laurent Savaete notifications@github.com wrote:

Faire tourner son propre serveur mail semble être de plus en plus difficile, parce que les serveurs des gros domaines (google, etc...) ont apparement tendance à classer tous les emails venant de serveurs "indépendants" comme spam.

Il faudrait rechercher ce qui est possible, afin de ne pas se trouver dans une situation où l'on ne peut plus envoyer de mails, vu leur role central pour la plateforme.

— You are receiving this because you are subscribed to this thread. Reply to this email directly, view it on GitHub https://github.com/okfnfr/dada-core/issues/6?email_source=notifications&email_token=AASEVRYD4MOBXNZ2G4KYTGTQHT6EPA5CNFSM4IS4YEM2YY3PNVWWK3TUL52HS4DFUVEXG43VMWVGG33NNVSW45C7NFSM4HIYVBXQ, or mute the thread https://github.com/notifications/unsubscribe-auth/AASEVR5ZEFI7JYDEOYPFE53QHT6EPANCNFSM4IS4YEMQ .

laurentS commented 5 years ago

TLSA / DANE

Notes sur le process pour l'enregistrement TLSA pour DANE. Il s'agit d'un enregistrement DNS (il faut avoir mis en place DNSSEC avant) qui confirme que le certificat SSL est bien celui qu'on veut, et pas un faux produit par un "man in the middle". Il faut renouveler cet enregistrement sur le DNS à chaque fois que le certificat est renouvelé, c'est-à-dire tous les 3 mois pour notre certificat letsencrypt.

Procédure A (sans renouvellement de la clé privée, plus simple que B):

Procédure B (avec renouvellement de la clé privée):

Voir ce blog https://blog.apnic.net/2017/01/06/lets-encrypt-dane/ pour détails (bien lire le Postscript à la fin, qui contredit un partie du texte)

Resource additionnelle pour simplifier la rotation avec letsencrypt, voir la fin de la discussion (vers sept 2018): https://community.letsencrypt.org/t/please-avoid-3-0-1-and-3-0-2-dane-tlsa-records-with-le-certificates/7022/19 (c'est la procédure A)

Pour vérifier:

laurentS commented 5 years ago

Notes concernant DKIM

laurentS commented 5 years ago

Notes sur le SPF

il est reglé pour marquer notre serveur comme seule source d'emails valide pour le domaine madada.fr (le mx dans l'enregistrement), avec une validation stricte (-all), donc une tentative d'envoi d'email @madada.fr depuis un autre serveur sera rejetée.

laurentS commented 5 years ago

A ce stade, on a un score de 74% sur la config du serveur mail (https://en.internet.nl/mail/madada.fr/255558/), on n'est pas encore "tout vert" ici mais gmail reçoit nos emails sans tousser (mon mail de changement de mot de passe n'est pas considéré comme spam). Si on voit des problèmes avec la montée en volume, on pourra toujours travailler sur les problèmes mentionnés sur cette page (en particulier le choix des ciphers mentionné plus haut).

pzwsk commented 5 years ago

Devrait à priori fonctionner avec les emails auto-générés. À tester.

laurentS commented 4 years ago

Un blog post contenant quelques infos utiles https://bridge.grumpy-troll.org/2020/07/small-mailserver-bcp/ et la discussion correspondante sur HN qui donne quelques éléments de plus: https://news.ycombinator.com/item?id=23958599

Recommendé entre autres: https://dmarc.postmarkapp.com/ qui permet d'avoir une vue sur les potentielles tentatives d'utilisation de notre domaine pour spammer. @pzwsk @akakeronos est-ce que vous voyez un inconvénient à ce que je nous ouvre un compte gratuit sur le service, au moins pour quelques semaines? Ça implique qu'un rapport de différents services de mail qui vont recevoir des messages de @madada.fr sera envoyé à postmark, qui nous en fera une interprétation lisible une fois par semaine. Le contenu de ce rapport est expliqué ici. Je n'y vois pas vraiment d'info confidentielle ou personnelle qui pose problème. En théorie, on ne devrait y voir que l'IP de notre serveur et le nombre de mail qu'il a envoyé à différents services (gmail, hotmail...) chaque jour. Si quelqu'un utilise notre domaine pour spammer, je comprends qu'on devrait y voir son IP.