Record DNS per i domini di invio

Questa pagina elenca ogni record DNS che Emailit genera per un dominio di invio e spiega perché esiste. Usala mentre pubblichi i record, o quando un record risulta Missing o Invalid nella pagina del dominio.

Tutti i record

Gli esempi usano acme.com. Sostituiscilo con il tuo dominio di invio. Se invii da un sottodominio come mail.acme.com, tutti gli host qui sotto si spostano sotto di esso, ad esempio emailit.mail.acme.com.

La chiave DKIM è diversa per ogni dominio, quindi copiala sempre dalla pagina del dominio o dall’array dns_records di Recupera un dominio. Gli host di tracciamento e di ricezione cambiano se imposti un tracking_key o un inbound_key personalizzato. Quando i report DMARC sono attivi, il valore DMARC suggerito include anche il tuo indirizzo per i report.

Un dominio è verificato quando i record di return path, SPF e DKIM superano tutti il controllo. Gli altri tre record attivano funzioni facoltative e non bloccano mai la verifica.

Return path (MX)

emailit.acme.com.   MX   10 feedback-smtp.ffdc-1.emailit.com.

Ogni messaggio che Emailit invia usa un mittente della busta (return path) su questo sottodominio, nella forma <workspace_id>@emailit.acme.com. I server riceventi inviano bounce e report di consegna a quell’indirizzo. Il record MX li reindirizza a Emailit, che li associa al messaggio originale e ne aggiorna lo stato.

Il controllo viene superato quando emailit.acme.com ha esattamente un record MX e punta a feedback-smtp.ffdc-1.emailit.com. Un secondo record MX sullo stesso host lo rende Invalid.

SPF (TXT sul sottodominio del return path)

emailit.acme.com.   TXT   "v=spf1 include:_spf.emailit.com ~all"

SPF indica ai server riceventi quali server possono inviare posta per un dominio. I server riceventi controllano SPF sul dominio del return path, non sull’indirizzo From. Poiché il return path di Emailit è emailit.acme.com, è quello l’host che ha bisogno del record SPF.

Questa configurazione ha due vantaggi:

• Non tocchi il record SPF del dominio principale. Il record SPF esistente di acme.com per Google Workspace, Microsoft 365 o altri servizi resta com’è. Aggiungere include:_spf.emailit.com al record principale non serve e consuma solo uno dei 10 lookup DNS di SPF.
• SPF resta allineato per DMARC. L’allineamento rilassato predefinito di DMARC accetta un return path su un sottodominio del dominio From. La posta da hello@acme.com con return path emailit.acme.com supera l’allineamento SPF.

Il controllo viene superato quando un record TXT che inizia con v=spf1 su emailit.acme.com include _spf.emailit.com. Pubblica un solo record SPF per host; due record SPF sullo stesso host fanno fallire SPF presso i server riceventi.

DKIM (TXT)

emailit._domainkey.acme.com.   TXT   "v=DKIM1; t=s; h=sha256; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA…"

Emailit firma ogni messaggio con una chiave RSA a 2048 bit usando il selettore emailit e d=acme.com. I server riceventi recuperano la chiave pubblica da questo record per controllare la firma. Una firma valida dimostra che il messaggio proviene da te e non è stato modificato durante il transito e, poiché il dominio di firma corrisponde al tuo dominio From, DKIM è allineato per DMARC.

Il valore è lungo circa 420 caratteri, più del limite di 255 caratteri di una singola stringa TXT. La maggior parte dei provider DNS lo divide per te. Se il tuo ti chiede di farlo, dividi il valore in parti tra virgolette in un unico record: "v=DKIM1; t=s; h=sha256; p=MIIB…" "…IDAQAB;". Emailit unisce le parti prima di controllare la chiave.

Il controllo confronta i tag DKIM, non il testo esatto, quindi spazi in più o un ordine diverso dei tag non sono un problema. Non viene superato se la chiave p= non corrisponde.

DMARC (TXT, facoltativo)

_dmarc.acme.com.   TXT   "v=DMARC1; p=none;"

DMARC indica ai server riceventi cosa fare con la posta che dichiara di provenire dal tuo dominio ma non supera l’allineamento SPF e DKIM, e dove inviare i relativi report. Gmail e Yahoo richiedono un record DMARC ai mittenti di grandi volumi, quindi pubblicane uno anche se a Emailit non serve per la verifica.

• Inizia con p=none. Non cambia nulla nella consegna e ti permette di raccogliere prima i report.
• Passa a p=quarantine, poi a p=reject, quando i report mostrano che tutta la posta legittima supera i controlli. Vedi Leggi i report DMARC per un’introduzione graduale e sicura.
• Mantieni un solo record DMARC. Se _dmarc.acme.com esiste già, non aggiungerne un secondo. Modifica invece il record esistente.

Con i report DMARC attivi, il valore suggerito aggiunge gli indirizzi rua e ruf su dmarc.emailitmail.com. Configura i report DMARC mostra come unirli a un record esistente.

Emailit controlla _dmarc solo sul dominio di invio esatto. Se invii da mail.acme.com e ti affidi alla policy pubblicata su _dmarc.acme.com, i server riceventi applicano la policy del dominio principale, ma la riga DMARC nella pagina del dominio non mostrerà OK.

Tracciamento (CNAME, facoltativo)

go.acme.com.   CNAME   go.emailitmail.com.

Il tracciamento di aperture e clic usa un nome host sul tuo dominio. Emailit riscrive i link in https://go.acme.com/<token> e carica il pixel di apertura dallo stesso host. Senza un CNAME verificato, la posta viene inviata senza tracciamento. Vedi Configura un dominio di tracciamento personalizzato.

Il CNAME deve puntare direttamente a go.emailitmail.com. Se il tuo provider DNS mette i record in proxy (la nuvola arancione di Cloudflare), imposta questo record su DNS only.

Ricezione (MX, facoltativo)

inbound.acme.com.   MX   10 inbound.emailitmail.com.

Con questo record, Emailit accetta la posta per qualsiasi indirizzo su inbound.acme.com, come support@inbound.acme.com, e la consegna al tuo workspace come email in entrata. Il controllo richiede la priorità 10. La ricezione funziona solo per i domini verificati. Vedi Configura le email in entrata.

Inserisci gli host presso il provider DNS

I provider DNS chiamano il campo host in modi diversi, e la maggior parte aggiunge il tuo dominio a quello che digiti. Inserisci il nome relativo (la parte che precede il tuo dominio), a meno che il provider non chieda il nome completo.

Per un sottodominio come mail.acme.com ospitato nella zona acme.com, l’host relativo include il sottodominio: emailit.mail, emailit._domainkey.mail, _dmarc.mail, go.mail e inbound.mail.

TTL

Emailit mostra il TTL come auto. Usa il TTL predefinito o automatico del tuo provider. Un TTL breve, ad esempio 300 secondi, aiuta durante la configurazione, perché le correzioni raggiungono più in fretta i resolver. Il TTL non influisce sulla verifica.

Controlla i record con dig

Interroga direttamente un record per vedere cosa vede il resto di internet. Questi comandi usano il resolver pubblico 1.1.1.1, così una risposta in cache della tua rete non ti trae in inganno.

dig +short MX emailit.acme.com @1.1.1.1
dig +short TXT emailit.acme.com @1.1.1.1
dig +short TXT emailit._domainkey.acme.com @1.1.1.1
dig +short TXT _dmarc.acme.com @1.1.1.1
dig +short CNAME go.acme.com @1.1.1.1
dig +short MX inbound.acme.com @1.1.1.1

Risposte attese:

10 feedback-smtp.ffdc-1.emailit.com.
"v=spf1 include:_spf.emailit.com ~all"
"v=DKIM1; t=s; h=sha256; p=MIIBIjANBgkqh…" "…IDAQAB;"
"v=DMARC1; p=none;"
go.emailitmail.com.
10 inbound.emailitmail.com.

Una risposta vuota significa che il record non è ancora pubblicato con quel nome. Su Windows, usa nslookup -type=TXT emailit.acme.com 1.1.1.1.

Errori comuni

Vedi anche