Newslettery a doručovací služby

Modul 7: Propojení externích služeb · Doba čtení: 8 min

Cíl lekce: Po této lekci dokážete propojit newsletterovou nebo doručovací službu tak, aby Vaše pošta nekončila ve spamu.

Klíčové pojmy: ověření domény (autentizace), DKIM přes CNAME, selector, SPF include pouze pokud o něj služba požádá, limit 10 vyhledávání, DMARC uilining přes DKIM, MX neupravovat

Proč newsletterová služba vyžaduje záznamy

Newsletterová služba jako Mailchimp, Brevo nebo MailerLite, případně doručovací služba pro faktury a potvrzení, odesílá poštu s Vaší adresou jako odesílatelem, například nieuws@example.com. Pošta ale přichází ze serverů dané služby, ne z Vašeho mailového serveru.

Příjemci jako Gmail a Outlook.com pak kontrolují: smí tento server posílat poštu jménem example.com a sedí podpis (lekce 4.3 až 4.5)? Pokud to není ošetřeno, skončí Váš newsletter ve spamu, nebo služba přepíše Vašeho odesílatele na vlastní adresu. Proto Vás služba požádá, abyste doménu autentizovali: pár záznamů ve Vašem DNS.

Co služba nepotřebuje: Vaše MX záznamy. Ty určují, kam směřuje Vaše příchozí pošta. Newsletter pouze odesíláte; odpovědi přirozeně přijdou do Vaší vlastní schránky. MX tedy pro newsletterovou službu nikdy neměňte.

DKIM přes CNAME

Většina služeb Vám umožní nastavit DKIM pomocí CNAME záznamů. Klíč si spravuje sama služba, Vy na něj pouze odkazujete. Díky tomu může služba klíč vyměnit, aniž byste museli cokoliv dělat.

Mailchimp v době psaní tohoto textu používá u novějších účtů dva záznamy:

k2._domainkey.example.com.   3600   IN   CNAME   dkim2.mcsv.net.
k3._domainkey.example.com.   3600   IN   CNAME   dkim3.mcsv.net.

Starší účty mívají často jeden záznam k1._domainkey směřující na dkim.mcsv.net. Jiné služby používají jiné selectory, například brevo1._domainkey nebo ml._domainkey. Přebírejte přesně to, co ukazuje dashboard Vaší služby. Názvy a cíle se liší podle služby i účtu a občas se mění.

k2 a k3 jsou selectory (lekce 4.4). Každá služba má vlastní selector, takže si záznamy navzájem nepřekáží a nekolidují ani s DKIM klíčem Vašeho vlastního mailového serveru.

Tři chyby, kterých se dopustí téměř každý

1. Zdvojená doména. Panel za název často sám doplní Vaši doménu. Pokud zadáte k2._domainkey.example.com, vznikne k2._domainkey.example.com.example.com. Zadejte pouze k2._domainkey, pokud panel výslovně nežádá úplný název. Pod polem bývá obvykle vidět, jak bude výsledný název vypadat.
2. Zapomenutá tečka na konci hodnoty. Bez tečky může panel z dkim2.mcsv.net udělat dkim2.mcsv.net.example.com. Některé panely tečku doplní samy; po uložení zkontrolujte, jak záznam vypadá (lekce 2.2).
3. TXT místo CNAME. Žádá li služba o CNAME, vytvořte CNAME. TXT záznam s textem dkim2.mcsv.net nedělá nic.

SPF: pouze pokud o něj služba požádá

U SPF si mnoho lidí myslí: každá služba, která odesílá poštu, musí být ve Vašem SPF záznamu. Tak to ale není vždy.

SPF kontroluje adresu v obálce e-mailu (tzv. Return-Path), nikoliv adresu odesílatele, kterou vidíte. Mnoho newsletterových služeb, včetně Mailchimpu, používá v obálce vlastní doménu. Jejich SPF kontrola tedy probíhá na jejich vlastní doméně a Váš SPF záznam zde nehraje roli. Mailchimp proto nežádá o include ve Vašem SPF záznamu.

Jiné služby naopak v obálce používají adresu na Vaší doméně, nebo Vás nechají nastavit vlastní subdoménu (například bounce.example.com). Ty žádají o include: ve Vašem SPF záznamu, nebo o SPF záznam na dané subdoméně. Postupujte přesně podle toho, co služba vyžaduje:

• žádá li služba o include, umístěte ho do svého stávajícího SPF záznamu, nikdy do druhého (lekce 4.3);
• nežádá li o to, nic nepřidávejte.

Proč být šetrní? SPF záznam smí při kontrole způsobit maximálně 10 DNS vyhledávání. Každý include, a, mx, exists a redirect se počítá, a includy jedné služby samy často obsahují další includy. S webhostingem, Microsoft 365, newsletterovou službou, účetním softwarem a CRM se tak snadno dostanete přes hranici. Pak je celý Váš SPF záznam neplatný (permerror). Odstraňte includy služeb, které už nepoužíváte nebo o které služba ani nežádá.

DMARC: tady to je klíčové

DMARC (lekce 4.5) schválí e-mail, pokud uspěje SPF nebo DKIM a zároveň odpovídá doméně v adrese odesílatele (uilining). U newsletterové služby, která v obálce používá vlastní doménu, nikdy nemůže SPF uilinovat s example.com. DMARC pak může uspět pouze přes DKIM: podpis s d=example.com, který získáte pouze pokud máte nastavené CNAME záznamy.

Proto:

1. nejprve nastavte DKIM záznamy dané služby;
2. počkejte, až služba oznámí, že je Vaše doména autentizovaná;
3. pošlete si testovací e-mail a v hlavičkách zkontrolujte, zda je DKIM pass s d=example.com;
4. teprve poté upravte své DMARC zásady z none na quarantine nebo reject.

Pokud ještě nemáte DMARC záznam, mnoho služeb Vás požádá, abyste ho vytvořili. Začněte s p=none (lekce 4.5). Velcí příjemci jako Gmail a Yahoo od roku 2024 vyžadují, aby hromadní odesílatelé měli DMARC záznam.

Odpovědi a bounces

Odpoví li čtenář na Váš newsletter, směřuje to na odpovědní adresu, kterou nastavíte ve službě, a přes Váš MX do Vaší vlastní schránky. Nedoručitelné zprávy (bounces) jdou na adresu z obálky, tedy do dané služby, která je zpracuje. Ani zde nemusíte nic měnit na svém MX.

V praxi: jak to vypadá v panelu

Ve vzorovém panelu DirectAdmin otevřete DNS, klepnete na Přidat záznam, zvolíte CNAME, do pole Název zadáte pouze k2._domainkey a do pole Hodnota dkim2.mcsv.net. s tečkou. Poté postup zopakujete pro k3. V Můj WebOké to na záložce DNS funguje stejně; okno pod polem pro název zobrazuje úplný název a upozorní, pokud chybí tečka.

V jiných panelech, jako cPanel, Plesk, Cloudflare nebo DNS obrazovka Vašeho registrátora, se tlačítka jmenují jinak, ale jde o stejná pole. U Cloudflare dávejte pozor na proxy: záznamy pro DKIM nastavte na „DNS only“ (Cloudflare to u CNAME záznamů s _domainkey většinou dělá automaticky sám).

Shrnutí

• Newsletterová služba nepotřebuje Vaše MX záznamy, nechte je beze změny.
• DKIM se většinou řeší přes CNAME záznamy s vlastním selectorem. Přebírejte to, co ukazuje Váš dashboard.
• Zadávejte pouze první část názvu a dbejte na tečku na konci hodnoty.
• SPF include nastavujte pouze pokud o něj služba požádá, do svého stávajícího záznamu, a zůstaňte pod limitem 10 vyhledávání.
• DMARC u takových služeb uspěje přes DKIM uilining; zpřísňujte zásady až ve chvíli, kdy DKIM funguje.

Kvíz

Úkol

Úkol Z7.4: Rozpoznání newsletterové služby. Zjistěte, jak si newsletterová služba sama řeší DKIM.

1. Vyhledejte CNAME záznam k2._domainkey.mailchimp.com a k3._domainkey.mailchimp.com. Opište cílové názvy.
2. Vyhledejte SPF záznam domény mailchimp.com a spočítejte, kolik obsahuje částí include:.

Kontrola si při odevzdání záznamy ověří naživo.

Úkol O7.4: Vlastní nastavení ve Vaší cvičné zóně. Propojte simulovanou newsletterovou službu s Vaší cvičnou zónou <code>.dnspractice.eu. Ve cvičné zóně použijete fiktivní službu newsletter-demo.dnspractice.eu; u své skutečné domény přebíráte hodnoty z dashboardu Vaší newsletterové služby.

1. Vytvořte CNAME k2._domainkey.<code>.dnspractice.eu směřující na dkim2.newsletter-demo.dnspractice.eu. Dejte pozor na název: žádná zdvojená zóna za ním.
2. Vytvořte CNAME k3._domainkey.<code>.dnspractice.eu směřující na dkim3.newsletter-demo.dnspractice.eu.
3. Zajistěte, aby na <code>.dnspractice.eu byl přesně jeden SPF záznam, který začíná v=spf1 a končí ~all nebo -all. Pro tuto službu nepřidávejte include.
4. Ponechte MX záznamy na <code>.dnspractice.eu beze změny: tato služba je nepotřebuje.

Doporučené čtení

Tyto stránky popisují postup v panelech WebOké (DirectAdmin a Můj WebOké). V jiných panelech to funguje obdobně.

• Správa DNS záznamů v Můj WebOké (s příklady pro CNAME, TXT a externí služby)
• Příručka k DirectAdmin 5.4: CNAME záznamy a tečka na konci
• Příručka k DirectAdmin 5.8: Zapnutí a kontrola DKIM
• Příručka k DirectAdmin 5.7: Nastavení a doplnění SPF
• Co je DMARC? Vysvětlení běžnou řečí