Web Hosting + gestione DNS

bortolotti80 Io ora ho provato a gestire i DNS del dominio acquistato con aruba (dominio+mail) con Cloudflare,

Ricapitolando, hai impostato in Aruba i Name Server (NS) di Cloudflare per il dominio?

bortolotti80 è corretto inserire come spf quel host di aruba?

Il server di posta qual è? Nel record SPF ci vanno gli IP o host che sono autorizzati a inviare email per il dominio. Con include aggiungi i record spf specificati - nel tuo caso quello di Aruba - ma dipende com'è strutturata la tua posta.

bortolotti80 Dmarc dovrei aver capito, che in caso di errori mi invia un riepilogo a quelle email

DMARC ti invia un report in XML a quella mail sia in caso di errore che in caso di successo. Se non l'hai già testato userei prima "quarantine" invece di "reject", e vedere se i report sono OK.

bortolotti80 mentre DKIM non posso fare nulla perchè è gestito da aruba

Se il server email è Aruba è così, devi avere il tuo server per impostare DKIM,

bortolotti80 ma da quanto ho capito necessita di un dominio di terzo livello.

No, non serve un terzo livello, basta un nome host.

bortolotti80 Ora non mi è chiaro se nel mio caso posso crearlo tramite i DNS (come www)

www è un host, non un dominio di livello superiore.

Devi avere essenzialmente un URL https://mta-sts.<dominio>.<tld> che risponda - es. https://mta-sts.example.org. A quell'URL ci deve poi essere una directory /.well-known dentro la quale c'è il file mta-sts.txt con le policy. Attenzione che quell'URL deve funzionare in TLS con un certificato valido. Se necessario devi creare un certificato con i Subject Alternative Name correttamente compilati - o usarne uno wildcard.

Comunque i terzi livelli li crei nel DNS, se non stai usando Aruba ma un altro name server puoi crearti tutti i terzi livelli che vuoi, senza pagare Aruba - che da questo punto di vista potrebbe accorgersi che non è più il 2000, soluzioni DNS alternative gratis esistono (come appunto usare Cloudflare, Hurricane Electric, ecc ecc.) e allungare il braccino. IMHO si fa prima con un host, in questo caso, comunque, io su Aruba uso un host.

bortolotti80 Da quanto ho capito se un server web ha MTA-STS in modalità enforce, io non potrei mai inviargli email, che scarterebbe

Il tuo record MTA-STS vale per il tuo server, stai dichiarando la tua policy. Se metti enforced se il server legge la policy e non è in grado di usare TLS non dovrebbe inviare il messaggio. Tieni presente che molti server ignorano MTA-STS ed inviano lo stesso - è utile per dire a quelli che lo usano che vuoi TLS.

Non vale al contrario, per inviare è il tuo mail server che dovrebbe leggere la policy, e se esiste rispettarla.

bortolotti80 aruba quando si utilizza un dns "esterno" da dei parametri di configurazione per la mail

Mmmh, qui devo capire cosa combina Aruba perché io non uso il loro mail server ma uno dedicato. Comunque, per la sola ricezione delle mail quello che conta è il record MX (Mail eXchange) nel DNS. Quando un mail server deve consegnare una email che non è per il suo dominio, fa una richiesta DNS MX per quel dominio esterno. Questa richiesta restituisce uno o più host, in ordine di priorità, dove trovare il mail server di destinazione.

Il record MX non viene usato quando leggi la posta (via client POP o IMAP) o la invi al tuo server locale (via client SMTP) che poi fa l'invio al server remoto, in questi casi viene fatta una query A (o AAAA).

Da quello che vedo Aruba richiede che nel tuo DNS ci sia un record MX che punti a mx.<tuodominio>.<estensione>. Poi ci vuole appunto l'host mx nel tuo dominio (quindi record A), e invece di usare più record MX con diverse priorità usa più record A sempre per l'host mx, con diversi IP, così da ottenere probabilmente una sorta di load balancing. Nota: i record MX possono puntare solo a record A, non CNAME.

Non capisco la distinzione per IMAP/POP/SMTP se usi TLS o no. In realtà nel primo caso puoi usare ad esempio imap.<tuodominio>.<ext> nella configurazione IMAP, nel secondo no. Comunque nei DNS non c'è alcuna indicazione se un host usa TLS o no.

bortolotti80 Dovrei inserire questi per SPF?

Io per l'SPF userei l'esempio v=spf1 include:_spf.aruba.it -all perché così fa direttamente riferimento al record SPF di Aruba ("include" significa "vatti a pescare il record spf indicato") e se Aruba lo cambia tu non devi toccare nulla. Se non hai altri server direi che va bene così. In alterativa puoi usare v=spf1 mx -all per indicare di usare l'MX, ma io in questo caso non controllando i server di posta preferirei il primo. L'esempio con il CIDR dipende da cosa combina Aruba con quella /19, e non lo userei.

bortolotti80 l'unico modo per testarlo è inviandosi email?

È il contrario. Devi inviare email tu, e dall'altra parte fanno il controllo SPF/DKIM/DMARC e verificano se è tutto a posto o meno, e poi ti inviano il report. Inviale a GMail o Outlook.com - questi di sicuro inviano rapporti, non tutti lo fanno, non è obbligatorio. Arrivano di solito il giorno dopo, il report è cumulativo e viene inviato a intervalli regolari (se c'è qualcosa da inviare)

Invece inviarti le mail serve per vedere se il record MX è corretto e se hai impostato mts-sta per ottenere i suoi rapporti.

bortolotti80 quindi potrei creare un host come ho fatto con www, però in questo caso non dovrei fare redirect per far funzionare mta-sts?

Esatto.

bortolotti80 Il mio certificato SSL dice lo posso utilizzare per example.com e *example.com,

A posto allora.

bortolotti80 Grazie, allora avevo capito giusto, aruba chiede 5€ l'anno per dominio di terzo livello, mi sembrava assurdo

Sì, sono rimasti fermi a vent'anni fa. Ogni tanto non li capisco, non credo che facciano grandi utili in quel modo. farebbero più bella figura a dartene almeno un tot senza rompere.

bortolotti80 non vale però per la ricezione perchè non lo supporto sul mio server

Attenzione che devi impostare MTA-STS solo se il tuo server supporta STARTTLS. Attenzione però che tu non controlli il certificato del server di Aruba, che non si presenterà con un certificato per il tuo dominio - e questo romperà i controlli. MTA-STS serve sia a forzare STARTTLS, sia a evitare man-in-the-middle presentando un certificato qualsiasi. Mi sa che non puoi usarlo.

bortolotti80 Ti ringrazio molto per il tuo tempo,

Se su un forum non si dà aiuto (o non si discute di qualcosa), a cosa serve? Poi tutto questo può servire anche ad altri (se hanno la pazienza di leggersi tutto, ah ah)

bortolotti80 se avessi un libro da consigliarmi posso comprarlo cosi da fare meno domande

Non so se c'è un libro che non sia scritto per uno specifico sistema (es. per le certificazioni Microsoft o di altri, o comunque dedicati a uno specifico prodotto) e che tratti questi argomenti in modo sufficientemente generico. Quello che so alla fine l'ho spulciato qua e là.

bortolotti80

Sì, stavo per dirtelo che ci sono vari servizi web che ti testano SPF/DKIM/DMARC/MTA-STS - almeno ti fanno un controllo formale che tutto sia configurato da specifiche. Occhio che forse hai lasciato qualche dominio che vorresti mascherare nell'output.

bortolotti80 utilizziamo sempre imaps.aruba.it con i client di posta, mai con il dominio

Probabilmente potresti impostare anche record A per questi nel tuo dominio, magari anche come CNAME per quelli di Aruba, ma alla fine cambia poco, tanto sempre su quei server vai.

bortolotti80 Potrebbero valorizzarsi meglio,

Sì, non hanno DNS IPv6, non supportano DDNS... tant'è che ho un dominio .cloud comprato da loro che uso per test vari per il quale uso i DNS di HE che mi permettono molta più libertà e con i quali posso fare un po' di prove varie. Solo che essendo un servizio free oggi c'è, domani chissà - quindi per il dominio principale con il quale non faccio giochetti lascio su Aruba e via - anche perché personalmente sono un po' contrario a questo estremo accentramento su Cloudflare/GitHub e poco altro - Internet è nato decentralizzato e stiamo ri-centralizzando tutto. Comunque quello di Aruba è un approccio un po' "all'italiana" che farebbero bene a cambiare. Ma magari il mercato low-end gli interessa poco, ormai.

Per quanto riguarda spf se utilizzi il sistema di posta di Aruba, quella stringa è esatta. Anche io la uso

bortolotti80 Un cname che fa ad esempio: CNAME - - imaps.example.com - - imaps.aruba.it ?

Il problema è che l'hostname/dominio nel certificato poi è diverso. Mi sa che è per questo motivo che Aruba se usi TLS non ti chiede di creare hostname nel tuo dominio, poi il certificato è per un host Aruba.

bortolotti80 Può essere, a me piace molto il servizio clienti e il servizio d'assistenza

Sì, ma gli basterebbe veramente poco per essere un poco più "appetibili" e attirarsi facili critiche, senza un grosso investimento.

bortolotti80 ad esempio per DNSSEC mi hanno detto se ha server NS esterni lo attiviamo altrimenti non si può

È perché il loro sistema DNS è ormai veramente antiquato Se proprio vogliono limitarlo un po' per costringere gli utenti a comprarsi dei server per fare da DNS, potrebbero mettere magari qualche limite sul numero di record e/o sottodomini - se non vogliono dedicarci troppe risorse.

bortolotti80 Ho provato per curiosità ad inviare un'email dal mio dominio a una gmail e vedo :

MTA-STS funziona quando ricevi, non quando invii. Devi scriverti da GMail e poi aspettare il report che ti invia Google su quanto rilevato. Questo è un esempio di reporta da Google:

{
	"organization-name": "Google Inc.",
	"date-range": {
		"start-datetime": "2022-04-18T00:00:00Z",
		"end-datetime": "2022-04-18T23:59:59Z"
	},
	"contact-info": "smtp-tls-reporting@google.com",
	"report-id": "2022-04-18T00:00:00Z_<redacted>.it",
	"policies": [
		{
			"policy": {
				"policy-type": "sts",
				"policy-string": [
					"version: STSv1\r",
					"mode: testing\r",
					"mx: mail.<redacted>.it\r",
					"max_age: 604800\r"
				],
				"policy-domain": "<redacted>.it"
			},
			"summary": {
				"total-successful-session-count": 1,
				"total-failure-session-count": 0
			}
		}
	]
}

Segnala che ha inviato un messaggio e che è riuscito ad inviarlo via TLS, Comunque il modo è "testing" e avrebbe invaito comunque. I report sono creati giornalmente alla mezzanotte e poi inviati.

bortolotti80 è possibile riconoscere le richieste in arrivo per ogni cliente e associare il certificato del cliente?

Sì, ci sono mail server che possono gestire più domini contemporaneamente, ma devono essere configurati per ogni dominio servito separatamente. Non so come Aruba gestisca il mail server, ma se è come il DNS....

bortolotti80 Capito, quindi tu il MTA-STS policy file lo hosti sul webserver con il certificato per *.example.com

Io ho un certificato per il sito principale che nei Subject Alternative Names ha www. e mta-sts. Poi ho un certificato separato per il mail server. Si può fare anche in altri modi, dipende da quanti certificati vuoi gestire e come. Io ho fatto così perché la gestione dei certificati del web server è diversa da quella del mail server.

bortolotti80 Hai mai avuto problemi con il rinnovo automatico del certificato con let's encrypt?

Si era bloccato una volta lo script schedulato... ma in genere è molto affidabile, specialmente se usi Certbot su Linux.

bortolotti80 Ok quindi se utilizzo questa mail come principale verrò subissato di report

Mah, non sono molti i server che inviano report, e comunque di solito li aggregano in uno giornaliero. Poi dipende da quanto traffico fa il server di posta, e verso quali domini.

bortolotti80 Mi consiglieresti un IDE per scrivere le pagine web?

Qui non posso aiutarti - lo sviluppo web lo lascio volentieri ad altri, mi spiace. Per i miei siti uso WordPress, Drupal o altri prodotti per scopi specifici. Per lo sviluppo locale però converrebbe avere un web server locale, così che i link se corretti funzionino comunque.

bortolotti80 wordpress dovrei stare più attento agli aggiornamenti, nel firewall è pieno di bot che cercano estensioni e informazioni su wordpress

Sì, oggi Wordpress si aggiorna da solo (se ha i permessi per farlo) ma occorre fare molta attenzione ai plug-in. Da quel punto di vista Drupal è più rognoso perché va aggiornato a mano, con composer è un po' più semplice, ma ogni tanto si incarta, specie quando passi di versione. Io uso un Wordpress piuttosto semplice, se devi farci qualcosa di complesso bisogna sapere cosa stai facendo.

bortolotti80 l mail server lo gestisci tu sempre in vps o ti rivolgi a un servizio esterno?

Io ho anche il mio mail server - per motivi di privacy, sicurezza e controllo dello spam.

bortolotti80 Ma perchè nel record, row, sezione in cui ci sarebbe l'IP di aruba, dkim è fail?

Da quello che vedo singolarmente SPF e DKIM passano, ma poi c'è un mismatch fra i domini, perché uno è aruba.it e l'altro è il tuo. Hai provato a fare un test del record DMARC con i vari tool online?

bortolotti80 Perchè mi chiedevo, esiste un mail hosting con dominio proprio che permetta MTA-STS?

Se non sbaglio su proprio dominio non è strettamente necessario che il servizio e-mail utilizzato "supporti" MTA-STS per utilizzarlo.
Dovrebbe essere sufficiente aggiungere il corrispondente record TXT (per indicare che il dominio lo supporta) e ospitare su un proprio webserver il file contenente le proprie policy, all'url:
https://mta-sts.[dominio].[estensione]/.well-known/mta-sts.txt

Sta poi al server che invia l'e-mail controllare che il dominio del destinatario supporti MTA-STS, recuperare le relative policy e agire di conseguenza.

Al massimo il provider e-mail può semplificarne la gestione, ospitando il file di policy per conto del proprietario del dominio e/o generando report dettagliati sugli errori relativi al TLS.