Sähköpostin tietoturva-asetukset: opas Google Workspacelle

Tämän oppaan avulla määrität verkkotunnuksellesi oikeat tietoturva-asetukset, kun käytät Google Workspacea. Oikein tehdyt määritykset suojaavat organisaatiotasi sähköpostipetoksilta, väärennetyiltä lähettäjiltä (spoofing) ja muilta tietoturvauhilta.

Tärkeä huomautus

Sähköpostin tietoturva-asetukset ovat ratkaisevan tärkeitä organisaatiosi tietojen suojaamisessa. Virheelliset asetukset voivat aiheuttaa ongelmia sähköpostin toimituksessa, tietoturva-aukkoja tai jopa tietomurtoja.

Vaikka tämä opas sisältää yksityiskohtaiset ohjeet, suosittelemme vahvasti, että keskustelet IT-osastosi tai pätevän DNS-asiantuntijan kanssa ennen kuin teet muutoksia verkkotunnuksesi DNS-tietueisiin. Virheelliset määritykset voivat aiheuttaa katkoja sähköpostipalveluun.

Asetukset kannattaa antaa sellaisen henkilön tehtäväksi, joka tuntee DNS-hallinnan ja sähköpostin todennusprotokollat. Jos olet epävarma jostain vaiheesta, pyydä ammattilaisen apua sen sijaan, että jatkaisit omin päin.

Muista, että DNS-muutosten leviäminen koko internetiin voi kestää 24–48 tuntia. Suunnittele aikataulu sen mukaan ja seuraa sähköpostipalveluitasi tarkasti muutosten jälkeen.

Sisällysluettelo

1. SPF-asetukset
2. DKIM-asetukset
3. DMARC-asetukset
4. MX-tietueet
5. Yleiset ongelmat ja vianmääritys

SPF-asetukset

Mikä on SPF?

SPF (Sender Policy Framework) on sähköpostin todennusmenetelmä, joka estää lähettäjän väärentämistä. Se tarkistaa, että verkkotunnuksesi nimissä sähköpostia lähettävillä palvelimilla on siihen lupa.

SPF:n määrittäminen Google Workspacelle

1. Kirjaudu DNS-palveluntarjoajasi hallintapaneeliin (esim. GoDaddy, Cloudflare, Namecheap)
2. Etsi TXT-tietueiden hallinta DNS-asetuksista
3. Luo tai päivitä TXT-tietue seuraavilla arvoilla:
   • Host/Name (isäntä/nimi): @ tai tyhjä (tarkoittaa pääverkkotunnustasi)
   • Type (tyyppi): TXT
   • TTL: 3600 (tai DNS-palveluntarjoajasi oletusarvo)
   • Value/Data (arvo): v=spf1 include:_spf.google.com ~all
   Huom.: Jos sinulla on jo SPF-tietue (alkaa v=spf1), älä luo toista. Päivitä sen sijaan olemassa olevaa tietuetta lisäämällä siihen include:_spf.google.com.
4. Tallenna muutokset
5. Tarkista SPF-tietueesi 24–48 tunnin kuluttua (aika, jonka DNS-muutosten leviäminen vie) verkkotyökalulla, kuten MXToolbox

Esimerkki oikeasta SPF-tietueesta

v=spf1 include:_spf.google.com ~all

Jos lähetät sähköpostia useamman palvelun kautta, yhdistä ne lisäämällä include:-määreitä:

v=spf1 include:_spf.google.com include:amazonses.com ~all

SPF-mekanismit selitettynä:

• ~all: Pehmeä hylkäys (soft fail) kaikelle sähköpostille, joka ei täsmää (suositus)
• -all: Ehdoton hylkäys (hard fail), tiukempi ja voi aiheuttaa ongelmia, jos asetuksia ei ole tehty oikein
• ?all: Neutraali, liian heikko tuotantoympäristöihin
• +all: Salli kaikki, tietoturvan kannalta erittäin huono vaihtoehto

DKIM-asetukset

Mikä on DKIM?

DKIM (DomainKeys Identified Mail) lisää lähteviin sähköposteihisi digitaalisen allekirjoituksen, jonka avulla vastaanottavat palvelimet voivat varmistaa, että viestit todella tulevat sinun verkkotunnuksestasi eikä niitä ole muutettu matkalla.

DKIM:n määrittäminen Google Workspacelle

1. Luo DKIM-avaimet Googlen hallintakonsolissa:
   • Kirjaudu Googlen hallintakonsoliin (Google Admin Console)
   • Siirry kohtaan Apps (Sovellukset) > Google Workspace > Gmail > Authentication (Todennus)
   • Avaa välilehti Email Authentication (Sähköpostin todennus)
   • Valitse DKIM-osiossa Generate new record (Luo uusi tietue)
   • Valitse verkkotunnuksesi ja napsauta Generate (Luo)
2. Kopioi näytetty DNS-isäntänimi ja TXT-tietueen arvo
3. Luo DNS-asetuksiin TXT-tietue:
   • Host/Name (isäntä/nimi): Googlen antama DNS-isäntänimi (esim. google._domainkey)
   • Type (tyyppi): TXT
   • TTL: 3600 (tai DNS-palveluntarjoajasi oletusarvo)
   • Value/Data (arvo): Googlen antama TXT-tietueen arvo (pitkä arvo, joka alkaa v=DKIM1; k=rsa; p=)
4. Tallenna muutokset
5. Ota DKIM-allekirjoitus käyttöön Googlen hallintakonsolissa:
   • Kun DNS-muutokset ovat levinneet (24–48 tuntia), palaa hallintakonsolin DKIM-asetuksiin
   • Ota DKIM-allekirjoitus käyttöön napsauttamalla verkkotunnuksesi vieressä Start (Aloita todennus)
6. Tarkista DKIM-määritys työkalulla, kuten MXToolbox DKIM Checker

Vinkkejä DKIM:n käyttöönottoon

• Google Workspace käyttää 2048-bittistä avainta, joka tarjoaa vahvan suojan
• Googlen pyytämä TXT-tietue voi olla hyvin pitkä, joten varmista, että kopioit koko arvon
• Jotkin DNS-palveluntarjoajat edellyttävät pitkien TXT-tietueiden jakamista osiin. Noudata tällöin palveluntarjoajasi ohjeita.

DMARC-asetukset

Mikä on DMARC?

DMARC (Domain-based Message Authentication, Reporting & Conformance) rakentuu SPF:n ja DKIM:n päälle. Sen avulla verkkotunnuksen omistaja päättää, mitä todennuksessa epäonnistuneelle sähköpostille tapahtuu, ja saa raportteja epäonnistuneista yrityksistä.

DMARC:n määrittäminen

1. Luo DNS-asetuksiin uusi TXT-tietue:
   • Host/Name (isäntä/nimi): _dmarc
   • Type (tyyppi): TXT
   • TTL: 3600 (tai DNS-palveluntarjoajasi oletusarvo)
   • Value/Data (arvo): Aloita yksinkertaisella DMARC-tietueella, esim.: v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com
2. Tallenna muutokset
3. Tarkista DMARC-määritys työkalulla, kuten MXToolbox DMARC Checker

DMARC-käytännön vaiheittainen käyttöönotto

DMARC kannattaa ottaa käyttöön vaiheittain:

1. Seurantatila (p=none): v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com
   • Lähettää raportteja vaikuttamatta sähköpostin toimitukseen
   • Käytä tätä asetusta vähintään 2 viikkoa tiedon keräämiseen
2. Karanteenitila (p=quarantine): v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-reports@yourdomain.com
   • Epäilyttävät viestit ohjataan roskapostikansioon
   • pct=25 soveltaa käytäntöä vain 25 prosenttiin viesteistä
   • Nosta osuutta vähitellen: 25 %, 50 %, 75 %, 100 %
3. Hylkäystila (p=reject): v=DMARC1; p=reject; rua=mailto:dmarc-reports@yourdomain.com
   • Vastaanottavat palvelimet hylkäävät todennuksessa epäonnistuneen sähköpostin
   • Ota käyttöön vasta, kun olet varma, että kaikki oikeat sähköpostivirrat on määritetty oikein

DMARC-tunnisteet selitettynä

• v=DMARC1: Protokollan versio (aina DMARC1)
• p=none/quarantine/reject: Käytäntö todennuksessa epäonnistuneille viesteille
• pct=: Prosenttiosuus liikenteestä, johon käytäntöä sovelletaan (1–100)
• rua=mailto:: Sähköpostiosoite koosteraporteille
• ruf=mailto:: Sähköpostiosoite yksityiskohtaisille forensisille raporteille
• sp=: Aliverkkotunnusten käytäntö (jos eri kuin pääverkkotunnuksella)

MX-tietueet

Mitä MX-tietueet ovat?

MX-tietueet (Mail Exchange) määrittävät, mitkä sähköpostipalvelimet vastaanottavat verkkotunnuksesi sähköpostit.

MX-tietueiden määrittäminen Google Workspacelle

1. Kirjaudu DNS-palveluntarjoajasi hallintapaneeliin
2. Etsi MX-tietueiden hallinta DNS-asetuksista
3. Poista olemassa olevat MX-tietueet, jotka eivät liity Google Workspaceen
4. Lisää seuraavat MX-tietueet:

Huom.: Pienempi prioriteettiarvo tarkoittaa korkeampaa prioriteettia. Palvelinta, jonka prioriteetti on 1, käytetään ensimmäisenä.

1. Tallenna muutokset
2. Tarkista MX-tietueesi 24–48 tunnin kuluttua työkalulla, kuten MXToolbox MX Lookup

Yleisiä MX-tietueiden ongelmia

• Päällekkäiset MX-tietueet: Poista kaikki muut kuin Googlen MX-tietueet, jos käytät ainoastaan Google Workspacea
• Puuttuvat prioriteetit: Varmista, että kaikilla tietueilla on oikeat prioriteettiarvot
• Virheellinen muoto: Tarkista, että verkkotunnukset on kirjoitettu oikein ja että ne päättyvät pisteeseen, jos palveluntarjoaja sitä edellyttää

Yleiset ongelmat ja vianmääritys

SPF-virheet

• Virhe 1: Liian monta DNS-hakua (enintään 10 sallitaan)
  • Ratkaisu: Yksinkertaista SPF-tietuettasi käyttämällä ”include”-määrettä useiden ”a:”- tai ”mx:”-mekanismien sijaan
• Virhe 2: Useita SPF-tietueita (vain yksi sallitaan)
  • Ratkaisu: Yhdistä kaikki määreet yhteen SPF-tietueeseen

DKIM-virheet

• Virhe 1: TXT-tietue luotu väärällä isäntänimellä
  • Ratkaisu: Tarkista tarkka isäntänimi uudelleen Googlen hallintakonsolista
• Virhe 2: TXT-tietueen arvo on puutteellinen
  • Ratkaisu: Varmista, että koko pitkä avain on kopioitu oikein

DMARC-virheet

• Virhe 1: Syntaksivirhe DMARC-tietueessa
  • Ratkaisu: Tarkista syntaksi DMARC-validaattorilla
• Virhe 2: Raportointiosoite käyttää samaa verkkotunnusta kuin DMARC-tietue
  • Ratkaisu: Määritä raportointiverkkotunnukselle oma DMARC-tietue tai käytä ulkoista raportointiosoitetta

MX-virheet

• Virhe 1: Ristiriita eri sähköpostipalveluiden välillä
  • Ratkaisu: Poista kaikki muut kuin Googlen MX-tietueet, jos käytät ainoastaan Google Workspacea
• Virhe 2: Väärä prioriteettijärjestys
  • Ratkaisu: Tarkista, että prioriteettiarvot on määritetty oikein (pienempi arvo = korkeampi prioriteetti)

Testaustyökalut

Voit tarkistaa asetuksesi seuraavilla työkaluilla:

• MXToolbox: kattava DNS-tarkistus
• Google Admin Toolbox: Check MX: nimenomaan Google Workspacelle
• DMARC Analyzer: DMARC-analyysiin ja -raportteihin

Yhteenveto

Näiden neljän tietoturvaosan (SPF, DKIM, DMARC ja MX) oikea määrittäminen on ratkaisevaa sähköpostisi tietoturvalle. Tätä opasta noudattamalla rakennat vahvan sähköpostin tietoturvan, joka suojaa organisaatiotasi väärennetyiltä lähettäjiltä, tietojenkalastelulta ja muilta sähköpostiin liittyviltä uhilta.

Muista, että DNS-muutosten leviäminen maailmanlaajuisesti voi kestää 24–48 tuntia, joten ole kärsivällinen testatessasi muutosten jälkeen.