Аудит почтового сервера и облачной почты перед переездом: что проверяем и что вы получаете

Самые страшные сюрпризы переезда — те, о которых вы не знали: домен на уволенном сотруднике, 1С, шлющая счета через чужой сервер, пересылка бухгалтерии на личный ящик. Большинство неудачных переездов почты проваливаются не на переносе писем, а на том, что никто не знал заранее: где домен, кто администратор, какие устройства отправляют почту, сколько гигабайт у бухгалтерии. Аудит почтового сервера или облачной почты перед переездом отвечает на эти вопросы до того, как компания начнёт уходить из облака. Ниже — что именно мы проверяем и какой документ вы получаете на выходе.

Зачем аудит, если «просто перенести письма»

Письма — самая простая часть. Сложность в том, что вокруг них: домен, зарегистрированный на бывшего сотрудника; DNS-зона у того же облачного провайдера; 1С, которая отправляет счета через облачный SMTP; общие ящики, права на которые никто не помнит; правила пересылки на личные адреса. В облаке всё это незаметно, пока не начинаешь уходить.

Аудит превращает неизвестное в список. После него переезд — это выполнение плана, а не разбор аварий.

То, чего вы не знаете, вас и убьёт

В облаке всё кажется простым, потому что вы ничего не видите. Кто администратор? Где DNS? Какие сканеры и системы отправляют почту? Куда пересылаются письма? Ответов нет — и они не нужны, пока не начинаешь уходить. А потом каждый неизвестный пункт превращается в аварию в понедельник утром.

Аудит вытаскивает всё это на свет до переезда. Не после, когда заявки с сайта уже неделю уходят в пустоту, а до, когда исправить можно спокойно. Это единственный способ уйти из облака без единой потерянной заявки.

1. Домен и DNS

Домен — ключ к почте. Если доступа к регистратору нет, переезд остановится на последнем шаге, когда нужно сменить MX. Поэтому домен проверяем первым и, если доступ потерян, начинаем его восстановление через регистратора сразу — это может занять недели.

Отдельно смотрим, где живёт DNS-зона. Если она у облачного почтового провайдера, её нужно перенести к регистратору или независимому DNS-сервису до переезда почты, со всеми записями сайта и других сервисов.

• на кого зарегистрирован домен, у кого доступ к регистратору, срок продления
• где обслуживается DNS-зона и кто может её менять
• текущие MX, SPF, DKIM, DMARC — корректны ли, нет ли лишних источников
• другие домены компании и псевдонимы доменов
• записи для сайта и других сервисов, которые нельзя потерять при переносе зоны

2. Ящики и объёмы

Выгружаем список ящиков и считаем объём каждого. Для облачной почты — через панель администратора и IMAP-оценку без переноса, для своего сервера — средствами самого сервера. Выделяем большие ящики, которые будут переноситься дольше всего, и ящики уволенных, которые, возможно, переносить не нужно.

• число ящиков и общий объём
• десять самых больших ящиков и их структура
• ящики без входа больше трёх месяцев
• общие ящики, псевдонимы, рассылки
• локальные архивы в почтовых программах

3. Доступы и учётные записи

Кто администратор облачной организации, есть ли второй администратор, включён ли у них второй фактор. Есть ли каталог пользователей — Active Directory или LDAP — и можно ли подключить к нему новый почтовый сервер. Как сотрудники входят в почту и где хранят пароли.

Частая находка — единственный администратор облака, который давно уволился, а его учётная запись продолжает работать. Это одновременно риск безопасности и препятствие для переезда: без прав администратора нельзя разрешить почтовые протоколы для выгрузки. Такую ситуацию решаем до начала работ — через процедуры провайдера по восстановлению доступа.

4. Всё, что отправляет почту

Самый недооценённый пункт. Составляем список систем, которые отправляют письма от имени домена: 1С, МФУ, сайт, CRM, сервисы рассылок, мониторинг, системы видеонаблюдения. Для каждой — через какой сервер отправляет, какие учётные данные использует, кто её перенастроит. Без этого списка после переезда «вдруг» перестают приходить заявки с сайта и уходить счета.

Источник списка — журналы отправки, если они доступны, отчёты DMARC, опрос отделов и осмотр офиса. Чаще всего забывают сканеры в дальних кабинетах, уведомления систем видеонаблюдения и старые скрипты на сайте, которые отправляют письма напрямую. Для каждой такой системы на новом сервере заводится отдельная служебная учётная запись с ограничениями — так утечка пароля сканера не даст доступа к ящикам людей.

5. Доставляемость

Проверяем, как письма компании доходят до получателей сейчас: результаты SPF, DKIM и DMARC в заголовках, отчёты DMARC, если они есть, репутацию домена. Если почта уже на своём сервере — PTR, чёрные списки, TLS. Это база для сравнения после переезда: если после переключения какие-то письма начнут попадать в спам, мы будем знать, было ли так и раньше. Подробно — в статье о доставляемости почты после переезда.

6. Безопасность

Ищем то, что обычно находится при любом аудите: пересылки рабочей почты на личные ящики, ящики уволенных с активным входом, общие пароли администратора, отсутствие второго фактора, открытые наружу панели. Для своего сервера — открытый релей, лишние порты, отсутствие защиты от перебора, устаревшие версии. Типовой список для своих серверов — в статье о безопасности почтового сервера в первый день.

7. Резервные копии и план Б

Есть ли копия почты вне провайдера, когда её последний раз восстанавливали, что компания будет делать, если почта недоступна день. В облаке ответ почти всегда — «копии нет, плана нет». Это фиксируем как главный риск. Как его закрыть — в статье «Резервная копия почты».

8. Требования к новой почте

Обсуждаем, что нужно компании на новом месте: только почта или ещё календари, файлы, чат; сколько ящиков через год; нужна ли интеграция с каталогом; где должен стоять сервер — у вас, у хостинг-провайдера или на нашей инфраструктуре. По этим требованиям выбираем решение: mailcow, iRedMail, Carbonio CE, Stalwart или почту на нашей инфраструктуре.

Наша позиция известна: почта должна быть на своём сервере, а не в чужом облаке. Но конкретное решение зависит от компании. Офису на 15 человек без администратора проще взять ящики на нашей инфраструктуре с обслуживанием. Компании на 200 человек с отделом ИТ — свой сервер на mailcow или Carbonio с нашим сопровождением. Компании с требованиями к составу ПО — iRedMail. Аудит даёт обоснование выбора, а не только рекомендацию.

Как проходит аудит

Порядок одинаков для облачной почты и своих серверов.

• вводная встреча: что беспокоит, какие сроки, кто отвечает со стороны компании
• доступы: администратор облака или сервера, DNS, регистратор — только на чтение там, где возможно
• сбор данных: ящики, объёмы, DNS, журналы, устройства
• опрос отделов: общие ящики, правила, системы, которые шлют почту
• анализ и документ
• встреча по итогам: риски, решение, план, стоимость

Что мы находим чаще всего

По итогам аудитов набор находок повторяется настолько, что его можно перечислить заранее. Домен на бывшем сотруднике или на подрядчике, который сделал сайт. DNS-зона у почтового провайдера. Пересылка почты бухгалтерии на личный ящик. Единственный администратор облака без второго фактора. Никаких копий почты вне провайдера. Десяток устройств и систем, о которых никто не помнит, пока они не перестанут работать. Ни одна из этих находок не критична, если её найти до переезда, и каждая из них превращается в аварию, если её найти после.

Что вы получаете

Документ на несколько страниц, понятный руководителю и администратору. Без общих слов: каждый риск — с тем, что именно сломается и как это исправить.

• карта текущей почты: домен, DNS, ящики, объёмы, устройства
• список рисков с приоритетами: что сломается при переезде, если не исправить
• найденные проблемы безопасности и что с ними делать
• рекомендуемое решение и площадка с обоснованием
• план переезда по шагам и датам
• стоимость: разовые работы и ежемесячное обслуживание

Сколько это стоит

Аудит — часть подготовки к переезду: при заказе переноса почты он входит в работу. Ориентиры по нашим ценам: перенос почты, календарей и контактов до 50 ящиков — от 12 000 ₽; корпоративная почта под ключ до 15 ящиков — от 25 000 ₽; ящики на нашей инфраструктуре — от 150 ₽ в месяц за ящик; обслуживание своего почтового сервера — от 7 000 ₽ в месяц. Подробнее — на странице услуги корпоративной почты.

Почему аудит делает внешний подрядчик

Свой администратор знает систему лучше, но смотрит на неё изнутри и привык к её особенностям. Внешний взгляд находит то, что стало «нормой»: пароль администратора, который знают пятеро, правило пересылки, настроенное «временно» три года назад. Кроме того, у подрядчика, который переносит почту регулярно, есть готовый список того, что ломается при переезде, — и он проверяет именно эти места.

Аудит не заменяет вашего администратора, а даёт ему документ, с которым проще убедить руководство в необходимых работах. Администратор остаётся участником на всех этапах: он лучше всех знает, какие системы и люди зависят от почты.

После аудита

Документ остаётся у компании и пригодится независимо от того, кто будет переносить почту. Если переезд делаем мы, план из аудита становится планом работ, а найденные риски закрываются до переключения. Если компания решает сделать переезд сама — у неё есть полный список того, что нужно учесть. Порядок полного переезда под ключ — в статье о миграции почты с Яндекса под ключ.

Если почта уже на своём сервере

Аудит нужен и тем, кто уже ушёл из облака, но не уверен в своём сервере: старая Zimbra без обновлений, сервер, который настраивал давно ушедший администратор, отсутствие копий. Тогда вопрос не «как уйти из облака», а «чинить или переезжать». Как мы на него отвечаем — в статье «Zimbra: чинить или переезжать».

Частые вопросы