Exempelexempelbolaget.example

3 saker att göra.
En av dem nu.

7 av 12 kontroller är i ordning. 2 är inte påvisade, vilket inte är fel i sig. Syntetiska data, 1 november 2026. Ingen riktig mätning.

3att åtgärda7 av 12 i ordning

Gör detta först

1Åtgärda nuautodiscover.exempelbolaget.example

Skicka med mellancertifikatet på autodiscover

Låt servern skicka hela kedjan, till exempel fullchain.pem i stället för bara certifikatet. Ladda om och kontrollera sedan att servern verkligen visar hela kedjan.

Miljöexempel · nginx

ssl_certificate /etc/letsencrypt/live/autodiscover.exempelbolaget.example/fullchain.pem;

Visa varför

Outlook och telefoner hittar e-postinställningarna via autodiscover. Klienter som inte kan komplettera kedjan kan neka servern, och användare kan få varningar eller ingen anslutning.

Från kontrollen: Servern skickar bara sitt eget certifikat, inte mellancertifikatet. Klienter som inte själva kan komplettera kedjan, ofta telefoner och e-postprogram, kan neka anslutningen.

2Inom 19 dagarmx1.exempelbolaget.example:25

Förnya e-postcertifikatet före 20 november

Förnya det, och överväg automatisk förnyelse med ACME, eftersom giltighetstiderna blir kortare: högst 100 dagar från 15 mars 2027. Se till att Postfix pekar på rätt certifikatfiler och att förnyelsen har schema och deploy-hook. En omladdning ensam bevisar inget: mät igen.

Miljöexempel · ACME med certbot

certbot certonly --standalone -d mx1.exempelbolaget.example

Visa varför

Certifikatet på mx1 går ut om 19 dagar. Avsändare som kräver giltigt certifikat kan avbryta leveransen; många levererar ändå. Förnyelsesättet är inte verifierat, i exemplet antar vi att det görs för hand.

Från kontrollen: Utfärdat av Sectigo med 398 dagars giltighet, före mars 2026 då det var tillåtet. Hur det förnyas går inte att se utifrån. I exemplet antar vi att det görs för hand.

3Rekommenderas_dmarc.exempelbolaget.example

Gå från p=none till p=quarantine, i lugn takt

Validera era legitima avsändare och följ rapporterna före skärpning. Byt sedan policy i posten _dmarc.

Miljöexempel · DNS

_dmarc.exempelbolaget.example. TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@exempelbolaget.example"

Visa varför

p=none begär ingen särskild hantering av mejl som underkänns. Med p=quarantine begär ni att de behandlas som misstänkta. Mottagaren bestämmer ändå själv.

Från kontrollen: DMARC finns med p=none, övervakningsläge: det begär ingen särskild hantering av mejl som underkänns. Rapporter begärs till adressen i rua; mottagaren avgör om de skickas.

Alla kontroller

Certifikat2 av 4 i ordning

Certifikat, webbexempelbolaget.example61 av 90 dagar kvarI ordning
Utfärdat av Let's Encrypt R11, giltigt i 90 dagar, namnet stämmer och kedjan är hel. Hur det förnyas syns inte utifrån.
Certifikat, wwwwww.exempelbolaget.example61 av 90 dagar kvarI ordning
Samma certifikat som huvuddomänen. Namnet www finns med i certifikatet.
Kedja, autodiscoverautodiscover.exempelbolaget.exampleMellancertifikatet saknasÅtgärda nu
Servern skickar bara sitt eget certifikat, inte mellancertifikatet. Klienter som inte själva kan komplettera kedjan, ofta telefoner och e-postprogram, kan neka anslutningen.
Certifikat, e-postmx1.exempelbolaget.example:2519 av 398 dagar kvarBör åtgärdas
Utfärdat av Sectigo med 398 dagars giltighet, före mars 2026 då det var tillåtet. Hur det förnyas går inte att se utifrån. I exemplet antar vi att det görs för hand.

E-post3 av 5 i ordning

E-postservrar (MX)mx1.exempelbolaget.example, mx2.exempelbolaget.example2 servrar svarar på port 25I ordning
Båda servrarna i MX-posten svarar och erbjuder en krypterad anslutning.
STARTTLSmx1.exempelbolaget.exampleTLS 1.3I ordning
Servern erbjuder STARTTLS och förhandlar TLS 1.3 med oss. Vi skickar inget mejl, bara EHLO och STARTTLS.
MTA-STSmta-sts.exempelbolaget.exampleInte påvisatInte påvisat
Ingen MTA-STS-policy hittades. I enforce-läge ber en sådan policy avsändare som stöder den att bara leverera över verifierad TLS. Att den saknas betyder inte att leveransen sker okrypterat; DANE eller avsändarens egen policy kan skydda.
SPFexempelbolaget.exampleAvslutas med -allI ordning
SPF-posten anger auktoriserade servrar och avslutas med -all, så andra servrar underkänns för kuvertavsändaren. Skydd mot förfalskad synlig avsändare kräver DMARC. Mottagaren avgör hur resultatet används.
DMARC_dmarc.exempelbolaget.examplep=noneBör åtgärdas
DMARC finns med p=none, övervakningsläge: det begär ingen särskild hantering av mejl som underkänns. Rapporter begärs till adressen i rua; mottagaren avgör om de skickas.

DNS2 av 3 i ordning

Namn i DNSexempelbolaget.example5 namn hittadeI ordning
Fem namn svarar i DNS: huvuddomänen, www, e-postservrarna mx1 och mx2 samt autodiscover.
CAAexempelbolaget.example2 utfärdare tillåtnaI ordning
CAA-posten anger att bara letsencrypt.org och sectigo.com får utfärda certifikat för domänen.
DNSSECexempelbolaget.exampleInte påvisatInte påvisat
Ingen DNSSEC-signering påvisad. DNSSEC autentiserar DNS-svar och behövs för DANE för e-post. MTA-STS fungerar utan.

Det här ingår inte

DKIM prövas inte utan er selektor. Interna servrar syns inte utifrån. Kontrollen är en ögonblicksbild; Vakt upprepar den varje dygn.