Trecerea în DNS: MX, SPF, DKIM și DMARC

Modulul 4: Mutarea e-mailului · Timp de citire: 12 minute

Obiectiv de învățare: După această lecție veți putea să planificați și să executați schimbarea DNS pentru e-mail în ordinea corectă, astfel încât să nu se piardă mesaje, mailul dumneavoastră trimis să nu ajungă în spam, iar Outlook să nu continue să se conecteze pe ascuns la vechiul furnizor.

Noțiuni esențiale: TTL, schimbarea MX, SPF (o singură înregistrare), selector DKIM, DMARC (p=none, rua), autodiscover, autoconfig, înregistrare de verificare, domeniu acceptat

Cinci înregistrări, un singur moment

Pentru e-mailul de pe propriul domeniu există câteva înregistrări în DNS care stabilesc împreună dacă mailul ajunge și dacă mailul dumneavoastră este considerat de încredere:

La o mutare se schimbă aproape toate acestea. Arta constă în ordine. Dacă schimbați MX în timp ce SPF și DKIM se mai referă doar la Microsoft, mailul va ajunge, dar mailul pe care îl trimiteți va ajunge în spam. Dacă schimbați mai întâi SPF, Microsoft nu va mai putea trimite corect în numele dumneavoastră în zilele anterioare.

Această lecție se referă la ordine. Modul exact în care funcționează fiecare înregistrare îl puteți citi în cursul de DNS (lecțiile 4.1 până la 4.5).

Pasul 1, cu două zile înainte: reduceți TTL și faceți o copie de siguranță

Fiecare înregistrare DNS are un TTL (time to live): cât timp pot reține alte servere răspunsul în memorie. Dacă TTL-ul MX-ului dumneavoastră este 86400 de secunde (o zi), unele servere vor continua să trimită către vechiul server până la o zi după schimbare.

De aceea, reduceți cu cel puțin o perioadă de TTL vechi în avans TTL-ul pentru MX, SPF și autodiscover la 300 sau 3600 de secunde. Dacă TTL-ul este de o zi, faceți acest lucru cu cel puțin o zi înainte; două zile este o marjă confortabilă. În același timp, faceți o copie de siguranță a zonei dumneavoastră DNS, sau notați toate înregistrările actuale. Astfel puteți reveni oricând.

Bakkerij De Korrel observă:

example.com.            3600  IN  MX   0 example-com.mail.protection.outlook.com.
example.com.            3600  IN  TXT  "v=spf1 include:spf.protection.outlook.com -all"
selector1._domainkey    3600  IN  CNAME selector1-example-com._domainkey.korrel.onmicrosoft.com.
selector2._domainkey    3600  IN  CNAME selector2-example-com._domainkey.korrel.onmicrosoft.com.
_dmarc.example.com.     3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"
autodiscover            3600  IN  CNAME autodiscover.outlook.com.
example.com.            3600  IN  TXT  "MS=ms12345678"

TTL-ul este deja 3600 (o oră). Ei setează MX și SPF la 300.

Pasul 2, înainte de schimbare: pregătiți DKIM și SPF pentru noul furnizor

Înregistrările care nu strică nimic, le adăugați deja în avans:

• DKIM de la noul furnizor. Noul furnizor oferă un selector și o cheie, de exemplu x._domainkey cu o înregistrare TXT v=DKIM1; k=rsa; p=.... Deoarece selectorul are un nume diferit față de cel de la Microsoft (selector1 și selector2), acestea coexistă liniștit unul lângă celălalt. Fiecare destinatar se uită doar la selectorul care apare în semnătura mailului.
• Extindeți SPF, nu îl înlocuiți. Poate exista o singură înregistrare SPF. Adăugați noul furnizor în aceeași înregistrare, astfel încât în zilele de tranziție ambii să poată trimite:

"v=spf1 include:spf.protection.outlook.com include:spf.mailaanbieder.example ~all"

Brutăria avea -all. În timpul tranziției, aleg temporar ~all (softfail): dacă totuși lipsește un server, mailul este considerat mai degrabă suspect decât respins. Aceasta urmează regula generală: ~all dacă nu sunteți complet sigur, -all dacă știți cu certitudine că toți expeditorii sunt incluși.

Nu uitați ceilalți expeditori din lista dumneavoastră din lecția 4.1: magazinul online, serviciul de newsletter, contabilitatea. Aceștia rămân în înregistrarea SPF.

Pasul 3, momentul schimbării: MX și autodiscover

La momentul convenit, după ce prima copie a căsuțelor poștale este gata (lecția 4.2):

1. Înlocuiți înregistrările MX cu cele ale noului furnizor. Eliminați vechiul MX; nu îl lăsați ca „rezervă” cu o prioritate mai mare, deoarece atunci mailul va ajunge la vechiul furnizor imediat ce noul este puțin mai lent.
2. Ajustați autodiscover. Outlook își caută setările prin autodiscover.example.com. Dacă aceasta încă indică spre autodiscover.outlook.com, Outlook va continua să încerce să se autentifice la Microsoft, chiar dacă adăugați un cont nou. Eliminați-l sau lăsați-l să indice spre ceea ce indică noul dumneavoastră furnizor. Unii furnizori folosesc în schimb autoconfig.example.com (Thunderbird) sau înregistrări SRV precum _imaps._tcp și _submission._tcp (RFC 6186).
3. Rulați o a doua copie a căsuțelor poștale, astfel încât mailul din ultimele ore să fie preluat.

Există o surpriză la Microsoft 365 care îi ia pe mulți prin surprindere. Atâta timp cât example.com este înregistrat în mediul Microsoft 365 ca domeniu acceptat, Microsoft livrează mailul între utilizatorii aceluiași mediu intern, fără a se uita la MX. Dacă un coleg care încă lucrează în Outlook la Microsoft trimite un mail unui alt coleg, mailul respectiv va ajunge în vechea căsuță poștală. De aceea, treceți toți angajații în aceeași zi, și scoateți domeniul din mediul Microsoft după perioada de tranziție.

Pasul 4, DMARC: monitorizați în timpul tranziției

DMARC indică destinatarilor ce să facă dacă un mail nu trece de SPF sau DKIM, și vă trimite rapoarte. Brutăria avea p=quarantine. Este bine, dar periculos în timpul unei schimbări: dacă DKIM nu este încă activat la noul furnizor, propriul lor mail va ajunge la clienți în spam.

Abordarea sigură:

• Dacă nu aveți încă DMARC, începeți cu p=none și o adresă rua. Astfel nu se întâmplă nimic cu mailul dumneavoastră, dar primiți rapoarte.
• Dacă aveți deja quarantine sau reject, verificați înainte de schimbare, cu un mail de test, dacă DKIM de la noul furnizor funcționează (antetul unui mail primit arată dkim=pass cu d=example.com). Dacă aveți îndoieli, setați temporar p=none și monitorizați rapoartele câteva săptămâni.
• Înăspriți apoi pas cu pas: none, apoi quarantine, apoi eventual reject. Conform noului standard DMARC (RFC 9989), puteți folosi în faza de testare și t=y; vechiul atribut pct dispare.

Pasul 5, după câteva săptămâni: curățarea

Dacă totul funcționează bine timp de câteva săptămâni, curățați înregistrările vechi:

• vechiul include din SPF (și eventual reveniți la -all);
• vechile înregistrări DKIM (selector1 și selector2);
• înregistrarea de verificare MS=ms... și alte eventuale înregistrări pentru Microsoft, precum enterpriseregistration și lyncdiscover, dacă le aveați;
• readuceți TTL-ul la o valoare obișnuită, precum 3600;
• domeniul din vechiul mediu Microsoft sau Google.

Dacă lăsați vechiul include să rămână, vechiul furnizor va putea trimite mailuri în numele domeniului dumneavoastră încă mulți ani. Aceasta este o portiță deschisă.

În practică: așa arată la un furnizor

În Contul meu WebOké, pe fila DNS se află cardul Setări e-mail. Acesta afișează MX, SPF și DMARC cu un punct colorat, iar în dreapta sus arată ce furnizor de mail recunoaște după MX-ul dumneavoastră. Cu Configurare rapidă setați dintr-o dată înregistrările pentru un furnizor, iar notificarea galbenă avertizează că înregistrările MX și SPF existente vor fi înlocuite. De aceea, faceți mai întâi o copie de siguranță DNS și verificați apoi dacă înregistrarea SPF încă mai conține ceilalți expeditori ai dumneavoastră. Pe pagina de produs a unui pachet de hosting se află cardul Setați E-mail, care arată pentru fiecare înregistrare dacă este Corect, Atenție, Incorect sau Nu a fost găsit, și oferă valoarea cu un buton de copiere. Dacă DNS-ul se află la o altă firmă, preluați acolo valorile respective. Alți furnizori și panouri DNS au imagini de ansamblu similare; înregistrările în sine sunt la fel peste tot.

Rezumat

• Reduceți TTL-ul cu cel puțin o perioadă de TTL vechi în avans și faceți o copie de siguranță a zonei dumneavoastră DNS.
• Pregătiți DKIM de la noul furnizor și o înregistrare SPF extinsă (o singură înregistrare, ambii furnizori) deja înainte de schimbare.
• Schimbați MX și autodiscover în același timp, și treceți toți angajații în aceeași zi; altfel Microsoft livrează mailul intern tot în vechile căsuțe poștale.
• Nu faceți DMARC mai strict în timpul tranziției decât ceea ce știți cu siguranță; începeți fără DMARC cu p=none și rapoarte.
• După câteva săptămâni, curățați vechiul include, înregistrările DKIM, înregistrările de verificare și domeniul din vechiul mediu.

Quiz

Exercițiu

Exercițiu A4.3: Înregistrările dumneavoastră de e-mail, centralizate. Completați domeniul dumneavoastră și selectorul DKIM al furnizorului dumneavoastră (nou). Programul verifică dacă MX-ul indică spre furnizorul dumneavoastră, dacă există exact o singură înregistrare SPF, dacă cheia DKIM se află pe acel selector și dacă există exact o singură înregistrare DMARC. De asemenea, măsoară TTL-ul MX-ului dumneavoastră la nameserverul autoritar: pentru o schimbare planificată, acesta trebuie să fie 3600 sau mai mic.

Exercițiu E4.3: Scenariul dumneavoastră de comutare. Scrieți pentru propriul domeniu scenariul din această lecție: pentru fiecare pas, data și ora, înregistrările înainte și după (vechiul și noul SPF ca o singură linie), cine îl execută, și ce verificați după fiecare pas.

Lecturi suplimentare

Pașii din aceste articole sunt valabili pentru serviciile WebOké; la alți furnizori funcționează similar.

• Manual WebOké 6.7: Caseta Configurați e-mailul (MX, SPF, DKIM, DMARC)
• Manual WebOké 5.6: Configurarea rapidă a e-mailului în DNS
• Manual WebOké 5.7: Resetarea DNS-ului și crearea unui backup DNS
• Manual DirectAdmin 10.4: După mutare: înregistrările MX și dispozitivele dumneavoastră
• Curs gratuit de DNS 4.3: SPF: cine are voie să trimită e-mailuri în numele domeniului dumneavoastră?
• Curs gratuit de DNS 4.4: DKIM: semnătura sub e-mailul dumneavoastră
• Curs gratuit de DNS 4.5: DMARC: ce trebuie să facă destinatarii cu e-mailurile false
• Curs gratuit de DNS 6.3: DNS la o schimbare de furnizor
• RFC 7208 (SPF), RFC 6376 (DKIM), RFC 9989 (DMARC), RFC 6186 (înregistrări SRV pentru programele de e-mail)