Registros DNS para domínios de envio

Esta página lista todos os registros DNS que o Emailit gera para um domínio de envio e explica por que cada um existe. Use-a enquanto publica os registros ou quando um registro aparecer como Missing ou Invalid na página do domínio.

Todos os registros

Os exemplos usam acme.com. Substitua pelo seu domínio de envio. Se você envia de um subdomínio como mail.acme.com, todos os hosts abaixo passam a ficar sob ele, por exemplo emailit.mail.acme.com.

A chave DKIM é única para cada domínio, então copie-a sempre da página do domínio ou do array dns_records de Obter um domínio. Os hosts de rastreamento e de recebimento mudam se você definir um tracking_key ou um inbound_key personalizado. Quando os relatórios DMARC estão ativados, o valor DMARC sugerido também inclui o seu endereço de relatórios.

Um domínio é verificado quando os registros de return path, SPF e DKIM passam na verificação. Os outros três registros ativam recursos opcionais e nunca bloqueiam a verificação.

Return path (MX)

emailit.acme.com.   MX   10 feedback-smtp.ffdc-1.emailit.com.

Toda mensagem que o Emailit envia usa um remetente do envelope (return path) neste subdomínio, no formato <workspace_id>@emailit.acme.com. Os servidores de destino enviam os bounces e os relatórios de entrega para esse endereço. O registro MX os encaminha de volta ao Emailit, que os associa à mensagem original e atualiza o status dela.

A verificação passa quando emailit.acme.com tem exatamente um registro MX e ele aponta para feedback-smtp.ffdc-1.emailit.com. Um segundo registro MX no mesmo host deixa o registro como Invalid.

SPF (TXT no subdomínio de return path)

emailit.acme.com.   TXT   "v=spf1 include:_spf.emailit.com ~all"

O SPF diz aos servidores de destino quais servidores podem enviar e-mails por um domínio. Os servidores de destino verificam o SPF em relação ao domínio do return path, e não ao endereço From. Como o return path do Emailit é emailit.acme.com, é esse host que precisa do registro SPF.

Essa configuração tem duas vantagens:

• Você não mexe no registro SPF do domínio raiz. O seu registro SPF de acme.com para o Google Workspace, o Microsoft 365 ou outros serviços continua como está. Adicionar include:_spf.emailit.com ao registro raiz não é necessário e só consome uma das 10 consultas DNS do SPF.
• O SPF continua alinhado para o DMARC. O alinhamento relaxado padrão do DMARC aceita um return path em um subdomínio do domínio From. Um e-mail de hello@acme.com com return path emailit.acme.com passa no alinhamento SPF.

A verificação passa quando um registro TXT que começa com v=spf1 em emailit.acme.com inclui _spf.emailit.com. Publique apenas um registro SPF por host; dois registros SPF no mesmo host fazem o SPF falhar nos servidores de destino.

DKIM (TXT)

emailit._domainkey.acme.com.   TXT   "v=DKIM1; t=s; h=sha256; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA…"

O Emailit assina cada mensagem com uma chave RSA de 2048 bits, usando o seletor emailit e d=acme.com. Os servidores de destino buscam a chave pública neste registro para conferir a assinatura. Uma assinatura válida prova que a mensagem veio de você e não foi alterada no caminho e, como o domínio de assinatura é o mesmo do seu domínio From, o DKIM fica alinhado para o DMARC.

O valor tem cerca de 420 caracteres, mais do que o limite de 255 caracteres de uma única string TXT. A maioria dos provedores de DNS divide o valor automaticamente. Se o seu pedir que você faça isso, divida o valor em partes entre aspas em um único registro: "v=DKIM1; t=s; h=sha256; p=MIIB…" "…IDAQAB;". O Emailit junta as partes antes de verificar a chave.

A verificação compara as tags DKIM, e não o texto exato, então espaços extras ou outra ordem das tags não são problema. Ela falha se a chave p= não corresponder.

DMARC (TXT, opcional)

_dmarc.acme.com.   TXT   "v=DMARC1; p=none;"

O DMARC diz aos servidores de destino o que fazer com e-mails que afirmam vir do seu domínio, mas falham no alinhamento SPF e DKIM, e para onde enviar relatórios sobre eles. O Gmail e o Yahoo exigem um registro DMARC de remetentes de grande volume, então publique um, mesmo que o Emailit não precise dele para a verificação.

• Comece com p=none. Isso não muda nada na entrega e permite coletar os relatórios primeiro.
• Passe para p=quarantine e depois para p=reject quando os relatórios mostrarem que todos os e-mails legítimos passam. Consulte Ler relatórios DMARC para fazer essa transição com segurança.
• Mantenha um único registro DMARC. Se _dmarc.acme.com já existir, não adicione um segundo. Edite o registro existente.

Com os relatórios DMARC ativados, o valor sugerido adiciona endereços rua e ruf em dmarc.emailitmail.com. Configurar relatórios DMARC mostra como juntá-los a um registro existente.

O Emailit só consulta _dmarc no domínio de envio exato. Se você envia de mail.acme.com e depende da política publicada em _dmarc.acme.com, os servidores de destino aplicam a política do domínio pai, mas a linha do DMARC na página do domínio não vai mostrar OK.

Rastreamento (CNAME, opcional)

go.acme.com.   CNAME   go.emailitmail.com.

O rastreamento de aberturas e cliques usa um nome de host no seu próprio domínio. O Emailit reescreve os links para https://go.acme.com/<token> e carrega o pixel de abertura do mesmo host. Sem um CNAME verificado, os e-mails são enviados sem rastreamento. Consulte Configurar um domínio de rastreamento personalizado.

O CNAME deve apontar diretamente para go.emailitmail.com. Se o seu provedor de DNS usa proxy nos registros (a nuvem laranja do Cloudflare), defina este registro como DNS only.

Recebimento (MX, opcional)

inbound.acme.com.   MX   10 inbound.emailitmail.com.

Com este registro, o Emailit aceita e-mails para qualquer endereço em inbound.acme.com, como support@inbound.acme.com, e os entrega ao seu workspace como e-mails recebidos. A verificação exige prioridade 10. O recebimento de e-mails só funciona em domínios verificados. Consulte Configurar o recebimento de e-mails.

Inserir os hosts no seu provedor de DNS

Os provedores de DNS dão nomes diferentes ao campo de host, e a maioria deles acrescenta o seu domínio ao que você digita. Digite o nome relativo (a parte antes do seu domínio), a menos que o seu provedor peça o nome completo.

Para um subdomínio como mail.acme.com hospedado na zona acme.com, o host relativo inclui o subdomínio: emailit.mail, emailit._domainkey.mail, _dmarc.mail, go.mail e inbound.mail.

TTL

O Emailit mostra o TTL como auto. Use o TTL padrão ou automático do seu provedor. Um TTL curto, como 300 segundos, ajuda durante a configuração, porque as correções chegam mais rápido aos resolvedores. O TTL não afeta a verificação.

Verificar os registros com o dig

Consulte um registro diretamente para ver o que o resto da internet vê. Estes comandos usam o resolvedor público 1.1.1.1, para que uma resposta em cache da sua rede não engane você.

dig +short MX emailit.acme.com @1.1.1.1
dig +short TXT emailit.acme.com @1.1.1.1
dig +short TXT emailit._domainkey.acme.com @1.1.1.1
dig +short TXT _dmarc.acme.com @1.1.1.1
dig +short CNAME go.acme.com @1.1.1.1
dig +short MX inbound.acme.com @1.1.1.1

Respostas esperadas:

10 feedback-smtp.ffdc-1.emailit.com.
"v=spf1 include:_spf.emailit.com ~all"
"v=DKIM1; t=s; h=sha256; p=MIIBIjANBgkqh…" "…IDAQAB;"
"v=DMARC1; p=none;"
go.emailitmail.com.
10 inbound.emailitmail.com.

Uma resposta vazia significa que o registro ainda não está publicado com esse nome. No Windows, use nslookup -type=TXT emailit.acme.com 1.1.1.1.

Erros comuns

Veja também