Modulo 7 · 7.1

Collegare Microsoft 365

Modulo 7: Collegare servizi esterni · Tempo di lettura: 9 minuti

Obiettivo della lezione: Dopo questa lezione sarà in grado di impostare i record DNS per Microsoft 365 e verificare che siano corretti.

Concetti chiave: TXT di verifica (MS=ms...), MX verso Microsoft, include SPF, CNAME DKIM (selector1 e selector2), autodiscover, centro di amministrazione

Perché Microsoft 365 ha bisogno di record

Con Microsoft 365 la Sua posta elettronica arriva presso Microsoft. Il Suo sito web può tranquillamente restare presso il Suo hosting provider. Per questa separazione, Microsoft ha bisogno di alcune cose dal Suo DNS:

una prova che il dominio è Suo (verifica);
il punto in cui arriva la posta (MX);
l'autorizzazione a inviare posta per conto del Suo dominio (SPF);
una firma sotto la Sua posta (DKIM);
un record con cui Outlook trova da solo le impostazioni (autodiscover).

Questi record vanno impostati presso il soggetto che gestisce il DNS del Suo dominio. Non sa chi sia? Guardi i nameserver del Suo dominio (lezione 2.1). Se modifica le impostazioni in un altro posto, non succede nulla.

La regola più importante di questa lezione: riprenda sempre esattamente quanto mostrato dal centro di amministrazione di Microsoft per il Suo dominio. Gli esempi qui sotto mostrano come si presentano i record. I valori esatti variano in base al dominio e all'abbonamento, e Microsoft talvolta modifica il formato.

Fase 1: verificare il dominio

Quando aggiunge un dominio nel centro di amministrazione di Microsoft 365, ottiene un record TXT con un codice:

example.com.   3600   IN   TXT   "MS=ms12345678"

Imposti questo record sul dominio principale (apex) (@). Clicchi poi su verifica nel centro di amministrazione. Se non funziona subito, attenda un quarto d'ora e riprovi: a volte un resolver ha ancora la vecchia risposta nella cache (lezione 6.1). Questo record TXT può coesistere con altri record TXT, anche accanto al Suo record SPF (lezione 4.2).

Fase 2: l'MX verso Microsoft

Il record MX punta a un server di posta associato al Suo dominio. A lungo si trattava del nome di dominio con trattini al posto dei punti, seguito da mail.protection.outlook.com:

example.com.   3600   IN   MX   0 example-com.mail.protection.outlook.com.

Gli abbonamenti più recenti ottengono talvolta un indirizzo che termina con mx.microsoft, ad esempio qualcosa come example-com.x-v1.mx.microsoft. Non è un errore di battitura: .microsoft è un vero dominio di primo livello. Quale dei due riceve lo vede nel centro di amministrazione. Lo riprenda esattamente, con il punto finale se il Suo pannello lo richiede (lezione 2.2).

Due cose qui vanno spesso storte:

Lasciare i vecchi record MX. Rimuova i record MX verso il Suo precedente server di posta. Se restano, parte della Sua posta continuerà ad arrivare al vecchio indirizzo, anche con una priorità più alta (lezione 4.1).
Consegna locale presso il Suo hosting provider. Molti pannelli di hosting consegnano la posta del Suo stesso sito web (modulo di contatto, negozio online) direttamente nella casella di posta sullo stesso server, se quest'ultimo ritiene che la Sua posta risieda lì. In DirectAdmin questa impostazione si chiama "Utilizza questo server per gestire la mia posta elettronica". Se imposta l'MX verso Microsoft, disattivi questa consegna locale. Altrimenti i moduli non arriveranno mai a Microsoft. In altri pannelli questa opzione si chiama ad esempio "Remote mail exchanger" o "Disabilita posta locale".

Fase 3: integrare l'SPF, non duplicarlo

Microsoft vuole che nel Suo record SPF compaia:

include:spf.protection.outlook.com

Ha già un record SPF? Allora non ne crei un secondo, ma aggiunga l'include al record esistente. Due record SPF rendono il Suo SPF non valido (lezione 4.3). Se il Suo sito web invia posta tramite il server del Suo hosting provider, lo lasci anch'esso nel record:

example.com.   3600   IN   TXT   "v=spf1 a mx include:spf.hosting.example include:spf.protection.outlook.com ~all"

Attenzione al limite di dieci interrogazioni DNS: ogni include conta, e anche gli include di Microsoft contano a loro volta delle interrogazioni.

Fase 4: DKIM con due record CNAME

Microsoft firma la Sua posta con una chiave che risiede presso Microsoft. Lei crea solo due rimandi, come CNAME:

selector1._domainkey.example.com.   3600   IN   CNAME   selector1-example-com._domainkey.example.x-v1.dkim.mail.microsoft.
selector2._domainkey.example.com.   3600   IN   CNAME   selector2-example-com._domainkey.example.x-v1.dkim.mail.microsoft.

Da maggio 2025 i nuovi domini ricevono questo formato, che termina con dkim.mail.microsoft. La lettera prima di -v1 (qui x) varia in base all'abbonamento. I domini più vecchi hanno spesso ancora il formato che termina con onmicrosoft.com, ad esempio selector1-example-com._domainkey.example.onmicrosoft.com. Entrambi funzionano. Anche qui vale: copi i valori dal centro di amministrazione (nelle impostazioni DKIM nel portale Defender) e non li inventi Lei stesso.

Perché due? Microsoft cambia periodicamente le chiavi (rotazione delle chiavi). Se nel Suo DNS è presente solo selector1, DKIM funziona fino al primo cambio e poi smette improvvisamente di funzionare. Crei quindi sempre entrambi.

Una volta visibili i record CNAME, attivi DKIM nel centro di amministrazione. Un errore comune è creare un record TXT dove è richiesto un CNAME; Microsoft segnala allora che il CNAME manca.

Attenzione al nome: nel Suo pannello di solito deve inserire solo selector1._domainkey. Se digita il nome completo e il Suo pannello aggiunge automaticamente il Suo dominio, otterrà selector1._domainkey.example.com.example.com (lezione 8.4).

Fase 5: autodiscover

Durante la configurazione di un account, Outlook cerca autodiscover.<Suo dominio>. Faccia puntare questo nome verso Microsoft:

autodiscover.example.com.   3600   IN   CNAME   autodiscover.outlook.com.

C'è già un record A o un wildcard che invia autodiscover al Suo server web? Un CNAME con lo stesso nome non può coesistere con un altro record: rimuova prima il record A per autodiscover. Contro un wildcard (*) non deve fare nulla: un nome a sé stante ha la precedenza (lezione 3.3).

E il DMARC?

Microsoft non lo richiede durante la configurazione, ma senza DMARC la posta finisce più spesso nello spam. Se ha già un record DMARC, può restare. Si assicuri però che SPF e DKIM per Microsoft siano impostati correttamente prima di impostare il criterio su quarantine o reject (lezione 4.5).

In pratica: come si presenta in un pannello

Nel pannello di esempio Mio WebOké, nella scheda DNS di un dominio, è presente una scheda Impostazioni email con Configurazione rapida. Se sceglie lì Microsoft 365, vede in anteprima quali record verranno creati: MX, integrazione SPF e autodiscover, e la consegna locale viene disattivata. Il TXT di verifica e i CNAME DKIM Li riceve direttamente da Microsoft; questi li aggiunge separatamente con Aggiungi Record. In DirectAdmin fa lo stesso tramite MX Records (modello Microsoft 365, e la spunta per disattivare la consegna) e Amministrazione DNS.

Usa un altro pannello, come cPanel, Plesk, Cloudflare o la schermata DNS del Suo registrar? Lì i pulsanti si chiamano diversamente, ma i campi sono gli stessi: nome, tipo, valore e TTL. Alcuni registrar hanno anche un pulsante "Microsoft 365" che imposta i record in un colpo solo.

Riepilogo

Riprenda tutti i valori dal centro di amministrazione di Microsoft 365, non da un esempio.
Verifica: TXT MS=ms... su @. MX: l'indirizzo che Microsoft fornisce per il Suo dominio; rimuova i vecchi record MX.
SPF: aggiunga include:spf.protection.outlook.com al record esistente, non ne crei un secondo.
DKIM: due CNAME, selector1 e selector2, entrambi necessari a causa della rotazione delle chiavi.
Autodiscover: CNAME verso autodiscover.outlook.com, e disattivi la consegna locale presso il Suo hosting provider.

Quiz

Esercizio

Esercizio Z7.1: Riconoscere Microsoft 365. Osservi come due organizzazioni reali utilizzano Microsoft 365: microsoft.com e sidn.nl.

Cerchi il record MX di sidn.nl e di microsoft.com. Quale dei due usa il vecchio formato (mail.protection.outlook.com) e quale il nuovo (mx.microsoft)?
Cerchi nel record SPF di sidn.nl l'include di Microsoft e lo trascriva.
Cerchi il record CNAME di selector1._domainkey.sidn.nl. Con quale parola termina il nome di destinazione (le ultime due etichette)?

Inserisca le Sue risposte nel campo di immissione. Il controllo interroga i record in tempo reale al momento della consegna, quindi se l'organizzazione cambia qualcosa, conta la nuova risposta.

Esercizio O7.1: Configurare da solo nella Sua zona di esercitazione. Colleghi la Sua zona di esercitazione <code>.dnspractice.eu a un servizio Microsoft 365 simulato. Nella zona di esercitazione usa il servizio fittizio office-demo.dnspractice.eu; per il Suo dominio reale riprenda i valori dal centro di amministrazione di Microsoft 365.

Verifica: imposti un record TXT su <code>.dnspractice.eu con il codice fornito dalla pagina dell'esercizio (MS=oefen-<code>-<...>).
MX: faccia ricevere a <code>.dnspractice.eu la posta su mail.protection.office-demo.dnspractice.eu. con priorità 0. Rimuova gli altri record MX su <code>.dnspractice.eu.
SPF: integri il record SPF esistente su <code>.dnspractice.eu con include:_spf.office-demo.dnspractice.eu, e lasci mx al suo posto. Può esserci un solo record SPF.
DKIM: crei un CNAME selector1._domainkey.<code>.dnspractice.eu verso selector1.dkim.office-demo.dnspractice.eu. e un CNAME selector2._domainkey.<code>.dnspractice.eu verso selector2.dkim.office-demo.dnspractice.eu.
Autodiscover: crei un CNAME autodiscover.<code>.dnspractice.eu verso autodiscover.office-demo.dnspractice.eu.

Esercizio O7.1

Questo esercizio lo svolge nella Sua zona di esercitazione: una vera zona DNS sui nameserver di WebOké, solo per Lei. Si registri con il Suo indirizzo email. Riceverà un link di accesso via email e tornerà poi a questa lezione. Usiamo il Suo indirizzo solo per il corso.

Per approfondire

Queste pagine descrivono i passaggi nei pannelli di WebOké (DirectAdmin e Mio WebOké). In altri pannelli funziona allo stesso modo.

Cookie su WebOké

Impostazioni cookie

Necessari

Marketing