Email dan DNS untuk Nginx
medium6 titik pemeriksaan
Autentikasi email melindungi merek, bukan situs. SPF, DMARC, DKIM, DNSSEC, dan CAA adalah kontrol murah yang menghentikan spoofing dan sertifikat liar.
Yang harus ada di Nginx
- Record SPF diakhiri -all dan memuat semua pengirim sah
- DMARC dipublikasikan, naik dari p=none ke quarantine lalu reject
- DKIM aktif di penyedia email
- DNSSEC ditandatangani di registrar
- Record CAA membatasi CA yang boleh menerbitkan sertifikat
- MTA-STS dan TLS-RPT untuk email masuk
Cara memperbaiki
- 1Publikasikan DMARC dalam mode pemantauan dulu, lalu perketat setelah meninjau laporan
- 2Tambahkan CAA untuk CA yang benar-benar dipakai, umumnya letsencrypt.org
Konteks Nginx
High-performance reverse proxy and web server.
Suppress version banners (server_tokens off), deny dotfiles, and beware alias traversal misconfigurations.