Prechod v DNS: MX, SPF, DKIM a DMARC

Modul 4: Presťahovanie e-mailu · Čas čítania: 12 minút

Cieľ lekcie: Po tejto lekcii dokážete naplánovať a vykonať zmenu DNS pre e-mail v správnom poradí, tak aby sa nestratila žiadna pošta, aby vaša odchádzajúca pošta nepadala do spamu a aby sa Outlook potajomky neprihlasoval späť k starému poskytovateľovi.

Kľúčové pojmy: TTL, prepnutie MX, SPF (jeden záznam), DKIM selektor, DMARC (p=none, rua), autodiscover, autoconfig, overovací záznam, akceptovaná doména

Päť záznamov, jeden okamih

Pre e-mail na vlastnej doméne existuje niekoľko záznamov v DNS, ktoré spoločne určujú, či pošta dorazí a či sa vašej pošte dá dôverovať:

Pri sťahovaní sa mení takmer všetko z tohto zoznamu. Umenie spočíva v poradí krokov. Ak prepnete MX zatiaľ čo SPF a DKIM platia ešte len pre Microsoft, pošta síce príde, ale pošta, ktorú odošlete, skončí v spame. Ak prepnete najprv SPF, Microsoft nebude v dňoch predtým schopný správne odosielať poštu vo vašom mene.

Táto lekcia sa venuje poradiu krokov. Ako presne jednotlivé záznamy fungujú, sa dočítate v kurze DNS (lekcie 4.1 až 4.5).

Krok 1, dva dni vopred: zníženie TTL a záloha

Každý DNS záznam má TTL (time to live): ako dlho si ostatné servery smú pamätať odpoveď. Ak je TTL vašej MX nastavená na 86400 sekúnd (jeden deň), niektoré servery budú po prepnutí posielať poštu na starý server ešte až deň.

Preto znížte minimálne o jednu starú TTL vopred TTL záznamov MX, SPF a autodiscover na 300 alebo 3600 sekúnd. Pri TTL jedného dňa to teda urobíte minimálne deň vopred; dva dni je s rezervou. Súčasne vytvorte zálohu vašej DNS zóny, alebo si zapíšte všetky aktuálne záznamy. Vďaka tomu sa vždy môžete vrátiť späť.

Bakkerij De Korrel vidí:

example.com.            3600  IN  MX   0 example-com.mail.protection.outlook.com.
example.com.            3600  IN  TXT  "v=spf1 include:spf.protection.outlook.com -all"
selector1._domainkey    3600  IN  CNAME selector1-example-com._domainkey.korrel.onmicrosoft.com.
selector2._domainkey    3600  IN  CNAME selector2-example-com._domainkey.korrel.onmicrosoft.com.
_dmarc.example.com.     3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"
autodiscover            3600  IN  CNAME autodiscover.outlook.com.
example.com.            3600  IN  TXT  "MS=ms12345678"

TTL je už 3600 (jedna hodina). MX a SPF nastavia na 300.

Krok 2, pred prepnutím: pripravenie DKIM a SPF pre nového poskytovateľa

Záznamy, ktoré nič nepokazia, nastavíte už vopred:

• DKIM nového poskytovateľa. Nový poskytovateľ vám dá selektor a kľúč, napríklad x._domainkey s TXT záznamom v=DKIM1; k=rsa; p=.... Keďže selektor sa volá inak než ten od Microsoftu (selector1 a selector2), môžu pokojne existovať vedľa seba. Každý príjemca sa pozerá len na selektor, ktorý je uvedený v podpise konkrétnej správy.
• Rozšírenie SPF, nie nahradenie. Môže existovať len jeden SPF záznam. Nového poskytovateľa pridajte do toho istého záznamu, aby v dňoch prechodu smeli odosielať poštu obidvaja:

"v=spf1 include:spf.protection.outlook.com include:spf.mailaanbieder.example ~all"

Pekáreň mala -all. Počas prechodu dočasne zvolia ~all (softfail): ak by predsa len nejaký server chýbal, pošta sa skôr označí ako podozrivá, než aby bola odmietnutá. To sa riadi základným pravidlom: ~all, ak si nie ste úplne istí, -all, ak ste si istí, že sú uvedení všetci odosielatelia.

Nezabudnite na ostatných odosielateľov z vášho zoznamu z lekcie 4.1: e-shop, službu na rozosielanie newslettrov, účtovníctvo. Tí zostávajú v SPF zázname.

Krok 3, okamih prepnutia: MX a autodiscover

V dohodnutom okamihu, potom čo je hotová prvá kópia poštových schránok (lekcia 4.2):

1. Nahraďte MX záznamy záznamami nového poskytovateľa. Odstráňte starú MX; nenechávajte ju ako „zálohu“ s vyššou prioritou, pretože vtedy bude pošta prichádzať k starému poskytovateľovi, akonáhle bude nový chvíľu pomalší.
2. Upravte autodiscover. Outlook vyhľadáva svoje nastavenia cez autodiscover.example.com. Ak to stále ukazuje na autodiscover.outlook.com, Outlook sa bude naďalej pokúšať prihlásiť u Microsoftu, aj keď pridáte nový účet. Odstráňte ho alebo ho nasmerujte na to, čo uvedie váš nový poskytovateľ. Niektorí poskytovatelia namiesto toho používajú autoconfig.example.com (Thunderbird) alebo SRV záznamy ako _imaps._tcp a _submission._tcp (RFC 6186).
3. Spustite druhú kópiu poštových schránok, aby sa preniesla aj pošta z posledných hodín.

Pri Microsoft 365 existuje prekvapenie, ktoré zaskočí mnohých. Pokiaľ je example.com v prostredí Microsoft 365 nastavená ako akceptovaná doména, Microsoft doručuje poštu medzi používateľmi toho istého prostredia interne, bez ohľadu na MX. Ak kolega, ktorý ešte pracuje v Outlooku pri Microsofte, napíše inému kolegovi, pošta skončí v starej schránke. Preto prepnite všetkých zamestnancov v ten istý deň a po prechodnom období odstráňte doménu z prostredia Microsoft.

Krok 4, DMARC: priebežné sledovanie počas prechodu

DMARC hovorí príjemcom, čo majú robiť, ak pošta neprejde cez SPF alebo DKIM, a posiela vám správy. Pekáreň mala p=quarantine. To je v poriadku, ale počas prepínania nebezpečné: ak DKIM u nového poskytovateľa ešte nie je zapnutý, ich vlastná pošta skončí u zákazníkov v spame.

Bezpečný postup:

• Ak ešte nemáte DMARC, začnite s p=none a adresou rua. Vtedy sa s vašou poštou nič nestane, ale budete dostávať správy.
• Ak už máte quarantine alebo reject, pred prepnutím skontrolujte testovacou správou, že DKIM nového poskytovateľa funguje (hlavička prijatej správy ukazuje dkim=pass s d=example.com). Ak si nie ste istí, dočasne nastavte p=none a niekoľko týždňov sledujte správy.
• Potom postupne sprísňujte: none, potom quarantine, prípadne neskôr reject. Podľa novej normy DMARC (RFC 9989) môžete v testovacej fáze použiť aj t=y; starý tag pct zaniká.

Krok 5, po niekoľkých týždňoch: upratovanie

Ak všetko niekoľko týždňov funguje bez problémov, odstráňte staré záznamy:

• starú include zo SPF (a prípadne sa vráťte k -all);
• staré DKIM záznamy (selector1 a selector2);
• overovací záznam MS=ms... a prípadné ďalšie záznamy pre Microsoft, ako enterpriseregistration a lyncdiscover, ak ste ich mali;
• TTL späť na bežnú hodnotu, napríklad 3600;
• doménu zo starého prostredia Microsoft alebo Google.

Ak necháte starú include stáť, starý poskytovateľ bude môcť ešte celé roky odosielať poštu v mene vašej domény. To je otvorené dvere.

V praxi: ako to vyzerá u poskytovateľa

V Môj WebOké je na karte DNS dlaždica Nastavenia e-mailu. Tá zobrazuje MX, SPF a DMARC pomocou farebnej bodky a vpravo hore, ktorého poskytovateľa pošty rozpoznáva podľa vašej MX. Pomocou tlačidla Rýchle nastavenie nastavíte naraz záznamy pre daného poskytovateľa a žlté upozornenie vás varuje, že existujúce MX a SPF záznamy budú nahradené. Preto si najprv vytvorte zálohu DNS a potom skontrolujte, či SPF záznam stále obsahuje vašich ostatných odosielateľov. Na stránke produktu hostingového balíka sa nachádza dlaždica Nastaviť e-mail, ktorá pri každom zázname ukazuje, či je Správny, Pozor, Nesprávny alebo Nenájdené, a hodnotu zobrazí s tlačidlom na kopírovanie. Ak sa DNS nachádza u iného poskytovateľa, prevezmite tieto hodnoty tam. Iní poskytovatelia a DNS panely majú podobné prehľady; samotné záznamy sú všade rovnaké.

Zhrnutie

• Znížte TTL minimálne o jednu starú TTL vopred a vytvorte zálohu vašej DNS zóny.
• Pripravte DKIM nového poskytovateľa a rozšírený SPF záznam (jeden záznam, obaja poskytovatelia) ešte pred prepnutím.
• Prepnite MX a autodiscover súčasne a všetkých zamestnancov preveďte v ten istý deň; inak Microsoft naďalej doručuje internú poštu do starých schránok.
• Počas prechodu nenastavujte DMARC prísnejšie, než si ste istí; ak nemáte DMARC, začnite s p=none a správami.
• Po niekoľkých týždňoch odstráňte starú include, DKIM záznamy, overovacie záznamy a doménu zo starého prostredia.

Kvíz

Úloha

Úloha A4.3: Vaše záznamy o pošte v prehľade. Zadajte svoju doménu a DKIM selektor vášho (nového) poskytovateľa. Program skontroluje, či MX smeruje na vášho poskytovateľa, či existuje presne jeden SPF záznam, či je DKIM kľúč uvedený pod daným selektorom a či existuje presne jeden DMARC záznam. Zmeria tiež TTL vašej MX na autoritatívnom nameserveri: pre plánované prepnutie musí byť 3600 alebo nižšia.

Úloha E4.3: Váš scenár prechodu. Napíšte pre svoju vlastnú doménu scenár z tejto lekcie: pri každom kroku dátum a čas, záznamy pred a po (starý a nový SPF ako jeden riadok), kto ho vykoná a čo skontrolujete po každom kroku.

Ďalšie čítanie

Kroky v týchto článkoch platia pre služby WebOké; u iných poskytovateľov to funguje podobne.

• Príručka WebOké 6.7: Karta Nastaviť e-mail (MX, SPF, DKIM, DMARC)
• Príručka WebOké 5.6: Rýchle nastavenie e-mailu v DNS
• Príručka WebOké 5.7: Obnovenie DNS a vytvorenie zálohy DNS
• Návod na DirectAdmin 10.4: Po presťahovaní: MX záznamy a vaše zariadenia
• Bezplatný kurz DNS 4.3: SPF: kto smie posielať poštu v mene vašej domény?
• Bezplatný kurz DNS 4.4: DKIM: podpis pod vašou poštou
• Bezplatný kurz DNS 4.5: DMARC: čo majú príjemcovia robiť s podvodnou poštou
• Bezplatný kurz DNS 6.3: DNS pri prevode domény
• RFC 7208 (SPF), RFC 6376 (DKIM), RFC 9989 (DMARC), RFC 6186 (SRV záznamy pre poštové programy)