Il passaggio nel DNS: MX, SPF, DKIM e DMARC

Modulo 4: Trasferire la posta elettronica · Tempo di lettura: 12 minuti

Obiettivo di apprendimento: Dopo questa lezione sarà in grado di pianificare ed eseguire nell'ordine corretto il cambio DNS per l'email, in modo che non vada persa posta, che la Sua posta in uscita non finisca nello spam e che Outlook non continui di nascosto a rivolgersi al vecchio fornitore.

Concetti chiave: TTL, cambio MX, SPF (un solo record), selettore DKIM, DMARC (p=none, rua), autodiscover, autoconfig, record di verifica, dominio accettato

Cinque record, un solo momento

Per l'email sul Suo dominio ci sono alcuni record nel DNS che insieme determinano se la posta arriva e se la Sua posta viene considerata attendibile:

Durante un trasloco cambia quasi tutto questo. L'arte sta nell'ordine. Se cambia l'MX mentre SPF e DKIM valgono ancora solo per Microsoft, la Sua posta arriverà, ma la posta che invia finirà nello spam. Se cambia prima SPF, Microsoft non potrà più inviare correttamente per Suo conto nei giorni precedenti.

Questa lezione tratta dell'ordine. Come è fatto esattamente ogni record lo legge nel corso DNS (lezioni 4.1 fino a 4.5).

Passo 1, due giorni prima: TTL ridotto e backup

Ogni record DNS ha un TTL (time to live): per quanto tempo altri server possono ricordare la risposta. Se il TTL del Suo MX è impostato su 86400 secondi (un giorno), alcuni server continueranno a inviare al vecchio server fino a un giorno dopo il cambio.

Riduca quindi almeno un vecchio TTL in anticipo, portando il TTL di MX, SPF e autodiscover a 300 o 3600 secondi. Con un TTL di un giorno, lo fa quindi almeno un giorno prima; due giorni sono abbondanti. Faccia contemporaneamente un backup della Sua zona DNS, oppure annoti tutti i record attuali. Così potrà sempre tornare indietro.

Bakkerij De Korrel vede:

example.com.            3600  IN  MX   0 example-com.mail.protection.outlook.com.
example.com.            3600  IN  TXT  "v=spf1 include:spf.protection.outlook.com -all"
selector1._domainkey    3600  IN  CNAME selector1-example-com._domainkey.korrel.onmicrosoft.com.
selector2._domainkey    3600  IN  CNAME selector2-example-com._domainkey.korrel.onmicrosoft.com.
_dmarc.example.com.     3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"
autodiscover            3600  IN  CNAME autodiscover.outlook.com.
example.com.            3600  IN  TXT  "MS=ms12345678"

Il TTL è già 3600 (un'ora). Lo impostano a 300 per MX e SPF.

Passo 2, prima del cambio: preparare DKIM e SPF per il nuovo fornitore

I record che non rompono nulla li prepara già in anticipo:

• DKIM del nuovo fornitore. Il nuovo fornitore fornisce un selettore e una chiave, ad esempio x._domainkey con un record TXT v=DKIM1; k=rsa; p=.... Poiché il selettore ha un nome diverso da quello di Microsoft (selector1 e selector2), possono convivere tranquillamente uno accanto all'altro. Ogni destinatario guarda solo il selettore indicato nella firma della email.
• Estendere SPF, non sostituirlo. Può esserci un solo record SPF. Aggiunga il nuovo fornitore allo stesso record, in modo che durante i giorni di transizione entrambi possano inviare:

"v=spf1 include:spf.protection.outlook.com include:spf.mailaanbieder.example ~all"

La panetteria aveva -all. Durante la transizione scelgono temporaneamente ~all (softfail): se manca comunque un server, la posta viene considerata prima sospetta piuttosto che rifiutata. Ciò segue la regola generale: ~all se non è del tutto sicuro, -all se sa con certezza che tutti i mittenti sono inclusi.

Non dimentichi gli altri mittenti del Suo elenco della lezione 4.1: il negozio online, il servizio di newsletter, la contabilità. Questi rimangono nel record SPF.

Passo 3, il momento del cambio: MX e autodiscover

Nel momento concordato, dopo che la prima copia delle caselle di posta è pronta (lezione 4.2):

1. Sostituisca i record MX con quelli del nuovo fornitore. Rimuova il vecchio MX; non lo lasci come "riserva" con una priorità più alta, perché in tal caso la posta arriverà al vecchio fornitore non appena il nuovo è un po' lento.
2. Modifichi autodiscover. Outlook cerca le sue impostazioni tramite autodiscover.example.com. Se punta ancora verso autodiscover.outlook.com, Outlook continuerà a tentare di accedere a Microsoft, anche se aggiunge un nuovo account. Lo rimuova oppure lo faccia puntare verso quanto indicato dal Suo nuovo fornitore. Alcuni fornitori usano invece autoconfig.example.com (Thunderbird) oppure record SRV come _imaps._tcp e _submission._tcp (RFC 6186).
3. Esegua una seconda copia delle caselle di posta, in modo che venga inclusa la posta delle ultime ore.

C'è una sorpresa in Microsoft 365 che coglie molti impreparati. Finché example.com è impostato nell'ambiente Microsoft 365 come dominio accettato, Microsoft recapita internamente la posta tra utenti dello stesso ambiente, senza controllare l'MX. Se un collega che lavora ancora in Outlook presso Microsoft invia una email a un altro collega, quella posta finisce nella vecchia casella. Per questo passi tutti i dipendenti nello stesso giorno, e rimuova il dominio dall'ambiente Microsoft dopo il periodo di transizione.

Passo 4, DMARC: monitorare durante la transizione

DMARC indica ai destinatari cosa fare se una email non supera SPF o DKIM, e invia rapporti. La panetteria aveva p=quarantine. È una buona impostazione, ma pericolosa durante un cambio: se DKIM presso il nuovo fornitore non è ancora attivo, la loro stessa posta finisce nello spam dei clienti.

L'approccio sicuro:

• Se non ha ancora DMARC, inizi con p=none e un indirizzo rua. In questo modo non succede nulla alla Sua posta, ma riceve i rapporti.
• Se ha già quarantine o reject, verifichi prima del cambio, con una email di prova, che DKIM del nuovo fornitore funzioni (l'intestazione di una email ricevuta mostra dkim=pass con d=example.com). In caso di dubbio, imposti temporaneamente p=none e legga i rapporti per qualche settimana.
• Dopodiché inasprisca gradualmente: none, poi quarantine, poi eventualmente reject. Secondo il nuovo standard DMARC (RFC 9989) può usare anche t=y nella fase di test; il vecchio tag pct viene eliminato.

Passo 5, dopo qualche settimana: fare pulizia

Se tutto funziona bene per alcune settimane, faccia pulizia dei vecchi record:

• il vecchio include in SPF (ed eventualmente torni a -all);
• i vecchi record DKIM (selector1 e selector2);
• il record di verifica MS=ms... ed eventuali altri record per Microsoft, come enterpriseregistration e lyncdiscover, se li aveva;
• il TTL riportato a un valore normale, ad esempio 3600;
• il dominio rimosso dal vecchio ambiente Microsoft o Google.

Se lascia il vecchio include, il vecchio fornitore potrà continuare a inviare posta per conto del Suo dominio ancora per anni. È una porta aperta.

Nella pratica: come si presenta presso un fornitore

In Mio WebOké, nella scheda DNS, si trova la scheda Impostazioni E-Mail. Mostra MX, SPF e DMARC con un pallino colorato e, in alto a destra, quale fornitore di posta riconosce dal Suo MX. Con Impostazione rapida imposta in un colpo solo i record per un fornitore, e l'avviso giallo segnala che i record MX e SPF esistenti verranno sostituiti. Faccia quindi prima un backup del DNS e verifichi poi che il record SPF contenga ancora gli altri mittenti. Nella pagina del prodotto di un pacchetto hosting si trova la scheda Imposta E-Mail, che mostra per ogni record se è Corretto, Attenzione, Errato o Non trovato, e fornisce il valore con un pulsante per copiarlo. Se il DNS è gestito presso un'altra parte, riprenda lì quei valori. Altri fornitori e pannelli DNS hanno panoramiche simili; i record stessi sono ovunque gli stessi.

Riepilogo

• Riduca il TTL almeno un vecchio TTL in anticipo e faccia un backup della Sua zona DNS.
• Prepari già prima del cambio il DKIM del nuovo fornitore e un record SPF esteso (un solo record, entrambi i fornitori).
• Cambi MX e autodiscover contemporaneamente, e passi tutti i dipendenti nello stesso giorno; altrimenti Microsoft continuerà a recapitare la posta interna nelle vecchie caselle.
• Durante la transizione non renda DMARC più severo di quanto sa con certezza; se non ha ancora DMARC, inizi con p=none e rapporti.
• Dopo qualche settimana faccia pulizia del vecchio include, dei record DKIM, dei record di verifica e del dominio nel vecchio ambiente.

Quiz

Esercizio

Esercizio A4.3: I Suoi record di posta in sintesi. Inserisca il Suo dominio, e il selettore DKIM del Suo (nuovo) fornitore. Il programma verifica se l'MX punta verso il Suo fornitore, se c'è esattamente un record SPF, se la chiave DKIM si trova su quel selettore e se c'è esattamente un record DMARC. Misura anche il TTL del Suo MX presso il nameserver autoritativo: per un cambio pianificato deve essere 3600 o inferiore.

Esercizio E4.3: Il Suo piano d'azione per il passaggio. Scriva per il Suo dominio il piano d'azione di questa lezione: per ogni passo la data e l'ora, i record prima e dopo (vecchio e nuovo SPF come una sola riga), chi lo esegue, e cosa verifica dopo ogni passo.

Per approfondire

I passaggi descritti in questi articoli valgono per i servizi di WebOké; presso altri fornitori funziona in modo analogo.

• Guida WebOké 6.7: La scheda Configura l'e-mail (MX, SPF, DKIM, DMARC)
• Guida WebOké 5.6: Configurare rapidamente l'e-mail nel DNS
• Guida WebOké 5.7: Ripristinare il DNS e creare un backup del DNS
• Guida DirectAdmin 10.4: Dopo il trasloco: record MX e i Suoi dispositivi
• Corso gratuito DNS 4.3: SPF: chi può inviare email a nome del Suo dominio?
• Corso gratuito DNS 4.4: DKIM: la firma sotto la Sua posta
• Corso gratuito DNS 4.5: DMARC: cosa devono fare i destinatari con le email false
• Corso gratuito DNS 6.3: Il DNS durante un trasferimento
• RFC 7208 (SPF), RFC 6376 (DKIM), RFC 9989 (DMARC), RFC 6186 (record SRV per i programmi di posta)