E-mailové servery a komunikace

Proč e-mailové servery stále dominují firemní komunikaci

E-mail je univerzální, otevřený a interoperabilní protokolový ekosystém. Na rozdíl od proprietárních chatů není vázán na jednu platformu a umožňuje auditovatelnost, archivaci, právní zadržené kopie (legal hold) i automatizaci. Základní cíle: doručitelnost, bezpečnost, správa identity, škálování a compliance.

Architektura: MUA, MTA, MSA, MDA a úložiště

• MUA (Mail User Agent): klient (Outlook, Thunderbird, mobilní aplikace, webmail).
• MSA (Message Submission Agent): příjem zpráv od uživatelů; port 587/465, autentizace a politika odesílání.
• MTA (Message Transfer Agent): směrování mezi servery; typicky Postfix, Exim, Microsoft Exchange transport, OpenSMTPD.
• MDA (Message Delivery Agent): doručení do schránky, filtrace (Dovecot LDA/LMTP, procmail, maildrop).
• Úložiště: Maildir (soubor/ zpráva, bezpečné paralelní zápisy) vs. mbox (jediný soubor; historické).

Protokoly a porty: SMTP, IMAP, POP3, webmail

• SMTP: přenos mezi servery (25) a odesílání přes MSA (587 STARTTLS, 465 SMTPS). Rozšíření: EHLO, STARTTLS, AUTH, 8BITMIME, PIPELINING, DSN, SMTPUTF8.
• IMAP (143/STARTTLS, 993/TLS): online přístup, složky, vyhledávání, synchronizace příznaků.
• POP3 (110/STARTTLS, 995/TLS): jednoduchý odběr a mazání; dnes spíše okrajově.
• Webmail: aplikace nad IMAP/SMTP (Roundcube, RainLoop, Outlook on the web). Často doplněno o CardDAV/CalDAV.

DNS jako páteř doručitelnosti: MX, SPF, DKIM, DMARC

1. MX: určuje přijímací MTA pro doménu, prioritizace podle preferencí; vždy směřujte na jmenné A/AAAA, ne CNAME.
2. SPF: TXT záznam s povolenými odesílajícími servery. Správně ukončete ~all (softfail) nebo -all (hardfail) dle zralosti.
3. DKIM: kryptografický podpis vybraných hlaviček a těla; publikace veřejného klíče v DNS pod selektorem.
4. DMARC: politika pro příjemce (p=none/quarantine/reject), vyžaduje SPF/DKIM alignment a zasílá agregované (rua) a forenzní (ruf) reporty.

Transportní bezpečnost: TLS, MTA-STS, DANE, S/MIME/PGP

• STARTTLS/TLS: šifrování SMTP, IMAP, POP3; vynucujte moderní šifrovací sady a TLS 1.2/1.3.
• MTA-STS: politika v DNS+HTTPS, která říká, že doména očekává TLS a jaké certifikační řetězce akceptuje.
• DANE for SMTP: pinning certifikátu pomocí TLSA v DNSSEC; robustní proti MITM na MX.
• End-to-end: S/MIME (PKI) nebo OpenPGP (web of trust) pro šifrování a podpisy obsahu; doplňuje transportní TLS.

Autentizace uživatelů: SASL, OAuth2 a bezheslové přístupy

• SASL: PLAIN/LOGIN (pouze přes TLS), SCRAM-SHA-256, XOAUTH2 pro federované identity.
• OAuth2/Modern Auth: delegace pro IMAP/SMTP; nutné pro M365/Google Workspace, zvyšuje odolnost proti phishingu.
• Passkeys/FIDO2: přihlašování do webmailu a portálů; snižuje závislost na heslech.

Vnitřní život MTA: fronty, retry, kódy chyb

• Queue: dočasně nedoručitelné zprávy (4xx) se vrací do fronty; backoff exponenciální, max. věk fronty (např. 2–5 dní).
• Bounce/NDR: trvalé chyby (5xx) generují oznam; zabraňte backscatteru validací adres při přijetí.
• Směrování: podle MX, lokální mapy, transportních pravidel; sender dependent relay pro více identit.

Antispam a antimalware: vrstvená obrana

• Filtrace před přijetím: DNSBL/RBL, URIBL, greylisting, reputační skóring, postscreen.
• Sken po přijetí: SpamAssassin/Rspamd (Bayes, pravidla, ML), Amavis/ClamAV, DKIM/SPF/DMARC evaluace, sandboxing příloh.
• Quarantine: důvěryhodná karanténa s notifikacemi, možnost vlastní obnovy.
• ARC: podpis přeposílajících uzlů pro zachování reputace přes forwardery a mailing listy.
• BIMI: zobrazení loga odesílatele při dobré reputaci a DMARC p=quarantine/reject.

Obsah a MIME: přílohy, kódování, limity

• MIME: multipart/alternative (text+HTML), multipart/mixed (přílohy), inline obrázky (CID).
• Kódování: Base64, quoted-printable; záhlaví v UTF-8 dle RFC 6532 nebo RFC 2047 (historické kódování).
• Limity: maximalní velikost zprávy (např. 25–50 MB), komprese, odkazy na úložiště místo velkých příloh.

Internationalizace: IDN a SMTPUTF8

• IDN: domény s diakritikou přes punycode; ověřujte homoglyphy.
• SMTPUTF8: adresy a záhlaví v UTF-8; nutné end-to-end podpora, jinak fallback aliasy.

Monitorování, logování a metriky

• Logy: maillog, auth, clamav/rspamd; korelace přes queue ID.
• Metriky: počty přijatých/odmítnutých, latence, velikost front, spam-rate, DMARC agregáty, TLS úspěšnost.
• Postmaster nástroje: reputace IP/domény, FBL (Feedback Loop) u velkých poskytovatelů.

Doručitelnost: best practices pro transakční a marketingové e-maily

Bezpečnostní politika: prevence otevřeného relé a BEC

• Otevřené relé: MTA nesmí přeposílat bez autentizace pro cizí domény; jasná relay pravidla.
• BEC/Phishing: DMARC p=reject, vizuální varování, školení uživatelů, sandbox odkazů a příloh, brand indicators.
• Privátní data: DLP pravidla, S/MIME pro citlivé přenosy, šifrované archivy.

Vysoká dostupnost a škálování

• MX redundance: více přijímacích bodů na různých sítích a lokalitách; anycast pro SMTP front-door.
• IMAP cluster: Dovecot s replikací (dsync), sdílené úložiště (Ceph/Gluster) nebo objektové storage s metadaty v DB.
• Horizontální škálování: více MTA pod load-balancerem; sticky-less díky stateless transportu.
• Zálohy a DR: snapshoty, replikace, testy obnovy; RPO/RTO definováno v SLA.

Provozní standardy a compliance

• GDPR: minimalizace dat, retenční politiky, šifrování v klidu i přenosu, dohody o zpracování.
• Journaling: kopie všech zpráv pro právní účely; indexace a eDiscovery.
• Politiky: přístup na principu nejmenších práv, auditní záznamy, pravidelné pen-testy.

Typické implementace a jejich role

• Postfix: modulární, rychlý, bohatý ekosystém (milter, policyd, postscreen).
• Exim: vysoce konfigurovatelný směrovací/filtrační engine.
• Dovecot: IMAP/POP3, LDA/LMTP, fulltext (fts-lucene/solr/elastic), ACL, multi-tenant.
• Exchange/Exchange Online: transportní pravidla, hybridní módy s on-prem Edge/HCW.
• Filtry: Rspamd/SpamAssassin, Amavis/ClamAV; SIEM integrace pro korelaci.

Konfigurační checklist pro novou doménu

1. Vytvořte MX záznamy → otestujte konektivitu a TLS (STARTTLS).
2. Nastavte SPF s minimem include a bez +all.
3. Vygenerujte DKIM klíče (2048b), publikujte TXT a aktivujte signování.
4. Zapněte DMARC (p=none pro začátek), sbírejte rua reporty → po stabilizaci přejděte na quarantine/reject.
5. Nasazujte MTA-STS a/nebo DANE (pokud máte DNSSEC).
6. Konfigurujte submission (587/465) s povoleným SASL a politikou rate-limitů.
7. Přidejte antispam/antimalware vrstvu a karanténu s notifikacemi.
8. Nastavte List-Unsubscribe a RFC 8058 pro marketingové zprávy.
9. Zaveďte monitorování front, DMARC agregátů, TLS úspěšnosti a reputace IP.

Řešení problémů: rychlá diagnostika

• Hlavičky: sledujte Received cestu, výsledky SPF/DKIM/DMARC, Message-ID, MIME hranice.
• DNS: ověřte MX/A/AAAA, zpětné DNS (PTR), konzistenci SPF a DKIM TXT.
• TLS: expirace certifikátů, řetězec důvěry, cipher suites, protokoly.
• Reputace: blacklisty, skokový nárůst bounců, spam traps.
• Výkon: latence fronty, I/O na úložišti, CPU při indexaci IMAP, zámky na mbox vs. paralelní Maildir.

Migrace a hybridní scénáře

• Cutover vs. staged: jednorázová vs. postupná migrace (IMAP copy, journaling replay).
• Hybrid: směrování podle domén/schránek, sdílené adresáře, centralizovaný transport s politikami.
• Testy: pilotní uživatelé, velikost schránek, sdílené kalendáře, mobilní profily (ActiveSync/Modern Auth).

Best practices shrnutí

• Dodržujte princip secure-by-default: TLS, DMARC, karanténa, žádné anonymní relay.
• Oddělte odesílací identity a workloady, řiďte reputaci IP/domény.
• Automatizujte: provisioning, rotace klíčů, obnovy a testy obnovy.
• Pracujte s daty z DMARC/feedback loop: iterativně zlepšujte doručitelnost.
• Školte uživatele: phishing, BEC, práce s přílohami a odkazy.

Závěr: e-mail jako odolná, otevřená a auditovatelná platforma

Správně navržená a provozovaná e-mailová infrastruktura kombinuje otevřené standardy, kryptografii, robustní provozní postupy a politiku identity. Díky vrstvené obraně, řízení reputace a automatizovanému monitoringu je možné dosáhnout vysoké doručitelnosti i v prostředí se silnou antispamovou filtrací, a zároveň plnit regulatorní požadavky i nároky na uživatelský komfort.