Přechod v DNS: MX, SPF, DKIM a DMARC

Modul 4: Přesun e-mailu · Doba čtení: 12 minut

Cíl lekce: Po této lekci dokážete naplánovat a provést přepnutí DNS pro e-mail ve správném pořadí, takže se neztratí žádná pošta, Vaše odchozí pošta nespadne do spamu a Outlook nebude potají dál klepat na dveře starého poskytovatele.

Klíčové pojmy: TTL, přepnutí MX, SPF (jeden záznam), DKIM selektor, DMARC (p=none, rua), autodiscover, autoconfig, ověřovací záznam, akceptovaná doména

Pět záznamů, jeden okamžik

Pro e-mail na vlastní doméně existuje několik záznamů v DNS, které společně určují, zda pošta dorazí a zda bude Vaše pošta důvěryhodná:

Při stěhování se mění téměř vše z toho. Umění spočívá ve správném pořadí. Pokud přepnete MX, zatímco SPF a DKIM stále platí jen pro Microsoft, Vaše pošta sice dorazí, ale odchozí pošta, kterou odešlete, spadne do spamu. Pokud přepnete SPF jako první, nemůže Microsoft v předchozích dnech jménem Vás správně odesílat poštu.

Tato lekce se věnuje právě pořadí. Jak přesně jednotlivé záznamy fungují, se dozvíte v kurzu DNS (lekce 4.1 až 4.5).

Krok 1, dva dny předem: snížení TTL a záloha

Každý DNS záznam má TTL (time to live): jak dlouho si jiné servery smějí odpověď pamatovat. Pokud má TTL Vašeho MX hodnotu 86400 sekund (jeden den), budou některé servery po přepnutí posílat poštu na starý server ještě až celý den.

Proto snižte minimálně jednu starou TTL předem, TTL záznamů MX, SPF a autodiscover, na 300 nebo 3600 sekund. Při TTL jednoho dne to tedy uděláte nejméně den předem; dva dny je bezpečná rezerva. Zároveň si vytvořte zálohu Vaší DNS zóny, nebo si zapište všechny aktuální záznamy. Pak se vždy můžete vrátit zpět.

Pekárna De Korrel vidí toto:

example.com.            3600  IN  MX   0 example-com.mail.protection.outlook.com.
example.com.            3600  IN  TXT  "v=spf1 include:spf.protection.outlook.com -all"
selector1._domainkey    3600  IN  CNAME selector1-example-com._domainkey.korrel.onmicrosoft.com.
selector2._domainkey    3600  IN  CNAME selector2-example-com._domainkey.korrel.onmicrosoft.com.
_dmarc.example.com.     3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"
autodiscover            3600  IN  CNAME autodiscover.outlook.com.
example.com.            3600  IN  TXT  "MS=ms12345678"

TTL je už nastaveno na 3600 (jedna hodina). MX a SPF nastaví na 300.

Krok 2, před přepnutím: příprava DKIM a SPF pro nového poskytovatele

Záznamy, které nic nepokazí, nastavíte už předem:

• DKIM nového poskytovatele. Nový poskytovatel dodá selektor a klíč, například x._domainkey s TXT záznamem v=DKIM1; k=rsa; p=.... Protože se selektor jmenuje jinak než u Microsoftu (selector1 a selector2), mohou klidně existovat vedle sebe. Každý příjemce se dívá pouze na selektor, který je uveden v podpisu konkrétní zprávy.
• Rozšiřte SPF, nenahrazujte ho. Smí existovat pouze jeden SPF záznam. Nového poskytovatele přidejte do téhož záznamu, aby mohli v přechodných dnech odesílat oba:

"v=spf1 include:spf.protection.outlook.com include:spf.mailaanbieder.example ~all"

Pekárna měla -all. Během přechodu dočasně zvolí ~all (softfail): pokud přece jen nějaký server chybí, je pošta spíše označena jako podezřelá, než odmítnuta. To odpovídá základnímu pravidlu: ~all, pokud si nejste zcela jisti, -all, pokud jste si jisti, že jsou v záznamu uvedeni všichni odesílatelé.

Nezapomeňte na ostatní odesílatele ze Vašeho seznamu z lekce 4.1: e-shop, službu pro rozesílání newsletterů, účetnictví. Ti zůstávají v SPF záznamu nadále uvedeni.

Krok 3, okamžik přepnutí: MX a autodiscover

V dohodnutém okamžiku, poté co je hotová první kopie poštovních schránek (lekce 4.2):

1. Nahraďte MX záznamy záznamy nového poskytovatele. Starý MX odstraňte; nenechávejte ho jako „zálohu“ s vyšší prioritou, protože v takovém případě bude pošta chodit do staré schránky, jakmile bude nový poskytovatel chvíli pomalejší.
2. Upravte autodiscover. Outlook hledá svoje nastavení přes autodiscover.example.com. Pokud stále ukazuje na autodiscover.outlook.com, bude se Outlook i nadále pokoušet přihlásit u Microsoftu, i když přidáte nový účet. Odstraňte ho nebo ho nechte ukazovat na to, co udává Váš nový poskytovatel. Někteří poskytovatelé místo toho používají autoconfig.example.com (Thunderbird) nebo SRV záznamy jako _imaps._tcp a _submission._tcp (RFC 6186).
3. Udělejte druhou kopii poštovních schránek, aby se přenesla i pošta z posledních hodin.

U Microsoft 365 existuje jedno překvapení, které mnohé zaskočí. Dokud je example.com v prostředí Microsoft 365 nastavena jako akceptovaná doména, doručuje Microsoft poštu mezi uživateli téhož prostředí interně, aniž by se díval na MX. Pokud kolega, který stále pracuje v Outlooku u Microsoftu, napíše jinému kolegovi, skončí ta pošta ve staré schránce. Proto přepněte všechny zaměstnance ve stejný den a doménu po přechodném období z prostředí Microsoftu odstraňte.

Krok 4, DMARC: sledování během přechodu

DMARC říká příjemcům, co mají dělat, pokud pošta neprojde SPF nebo DKIM, a posílá Vám zprávy. Pekárna měla nastaveno p=quarantine. To je v pořádku, ale během přepnutí nebezpečné: pokud DKIM u nového poskytovatele ještě není zapnuté, skončí jejich vlastní pošta u zákazníků ve spamu.

Bezpečný postup:

• Pokud ještě nemáte DMARC, začněte s p=none a adresou rua. Pak se s Vaší poštou nic neděje, ale dostáváte zprávy.
• Pokud už máte quarantine nebo reject, ověřte před přepnutím testovací zprávou, že DKIM nového poskytovatele funguje (hlavička přijaté zprávy ukáže dkim=pass s d=example.com). Pokud si nejste jisti, nastavte dočasně p=none a několik týdnů sledujte zprávy.
• Poté postupně zpřísňujte: none, pak quarantine, případně pak reject. Podle nového standardu DMARC (RFC 9989) můžete ve zkušební fázi použít i t=y; stará značka pct zaniká.

Krok 5, po několika týdnech: úklid

Pokud vše funguje spolehlivě několik týdnů, uklidíte staré záznamy:

• starý include ze SPF (a případně zpět na -all);
• staré DKIM záznamy (selector1 a selector2);
• ověřovací záznam MS=ms... a případné další záznamy pro Microsoft, jako enterpriseregistration a lyncdiscover, pokud jste je měli;
• TTL zpět na běžnou hodnotu, například 3600;
• doménu ze starého prostředí Microsoftu nebo Googlu.

Pokud necháte starý include zůstat, může starý poskytovatel ještě roky odesílat poštu jménem Vaší domény. To je otevřená branka.

V praxi: jak to vypadá u poskytovatele

V Můj WebOké je na záložce DNS karta Nastavení e-mailu. Ta zobrazuje MX, SPF a DMARC barevnou tečkou a vpravo nahoře, kterého poskytovatele pošty podle Vašeho MX rozpoznává. Pomocí Rychlé nastavení nastavíte najednou záznamy pro daného poskytovatele a žluté upozornění varuje, že stávající MX a SPF záznamy budou nahrazeny. Nejdříve si proto vytvořte zálohu DNS a poté zkontrolujte, zda SPF záznam stále obsahuje Vaše další odesílatele. Na produktové stránce hostingového balíčku je karta Nastavit e-mail, která u každého záznamu ukáže, zda je Správně, Pozor, Nesprávně nebo Nenalezeno, a hodnotu zobrazí s tlačítkem pro zkopírování. Pokud máte DNS u jiné firmy, převezmete tyto hodnoty tam. Jiní poskytovatelé a DNS panely mají podobné přehledy; samotné záznamy jsou všude stejné.

Shrnutí

• Snižte TTL minimálně jednu starou TTL předem a vytvořte si zálohu DNS zóny.
• Připravte si DKIM nového poskytovatele a rozšířený SPF záznam (jeden záznam, oba poskytovatelé) ještě před přepnutím.
• Přepněte MX a autodiscover současně a přepněte všechny zaměstnance ve stejný den; jinak Microsoft stále doručuje interní poštu do starých schránek.
• Nenastavujte DMARC během přechodu přísněji, než si jste jisti; pokud ještě DMARC nemáte, začněte s p=none a zprávami.
• Po několika týdnech uklidíte starý include, DKIM záznamy, ověřovací záznamy a doménu ze starého prostředí.

Kvíz

Úkol

Úkol A4.3: Přehled Vašich mailových záznamů. Vyplňte Vaši doménu a DKIM selektor Vašeho (nového) poskytovatele. Program zkontroluje, zda MX ukazuje na Vašeho poskytovatele, zda existuje přesně jeden SPF záznam, zda DKIM klíč je na daném selektoru nastaven a zda existuje přesně jeden DMARC záznam. Zároveň změří TTL Vašeho MX na autoritativním nameserveru: pro plánované přepnutí by měla být 3600 nebo nižší.

Úkol E4.3: Váš scénář přechodu. Napište pro svou vlastní doménu scénář z této lekce: pro každý krok datum a čas, záznamy před a po (starý a nový SPF jako jeden řádek), kdo to provede a co zkontrolujete po každém kroku.

Další čtení

Kroky v těchto článcích platí pro služby WebOké; u jiných poskytovatelů to funguje obdobně.

• Příručka WebOké 6.7: Karta Nastavení e-mailu (MX, SPF, DKIM, DMARC)
• Příručka WebOké 5.6: Rychlé nastavení e-mailu v DNS
• Příručka WebOké 5.7: Obnovení DNS a vytvoření zálohy DNS
• Příručka k DirectAdmin 10.4: Po přestěhování: MX záznamy a Vaše zařízení
• Bezplatný kurz DNS 4.3: SPF: kdo smí odesílat poštu jménem Vaší domény?
• Bezplatný kurz DNS 4.4: DKIM: podpis pod Vaší poštou
• Bezplatný kurz DNS 4.5: DMARC: co mají příjemci dělat s podvodnou poštou
• Bezplatný kurz DNS 6.3: DNS při převodu domény
• RFC 7208 (SPF), RFC 6376 (DKIM), RFC 9989 (DMARC), RFC 6186 (SRV záznamy pro poštovní programy)