Корпоративная почта на собственном домене: MX, SPF, DKIM и DMARC просто

Адрес вида info@your-company.ge вызывает у клиента больше доверия, чем адрес бесплатного почтового сервиса. При этом он находится под вашим контролем: когда сотрудник уходит, адрес остаётся в компании. В этой статье мы простыми словами объясним, что значит почта на собственном домене и для чего нужны четыре аббревиатуры: MX, SPF, DKIM и DMARC.

Что такое корпоративная почта

У вас есть домен, например your-company.ge. Почтовые ящики на этом домене обслуживает сервис, чаще всего Microsoft 365 (Exchange Online) или Google Workspace (Gmail). Домен и почтовый сервис — это две отдельные вещи. Их связывают друг с другом DNS-записи, то есть параметры домена. DNS можно представить как адресную книгу интернета: в ней записано, куда направлять почту вашего домена и кому разрешено отправлять письма от вашего имени.

Важная деталь: эти записи изменяются там, где управляется DNS вашего домена, то есть у регистратора домена или у поставщика услуг DNS. В документации Microsoft прямо сказано, что в Microsoft 365 нет портала или команды PowerShell для управления SPF-записями. Такая запись создаётся у регистратора или у DNS-хостинга.

MX: куда направить входящее письмо

Когда кто-то отправляет вам письмо, система отправителя проверяет MX-записи вашего домена и узнаёт из них, куда доставить письмо. Согласно справочной странице Google Workspace, его значение MX — smtp.google.com. Если вы пользовались Google Workspace до 2023 года, на вашем домене могут быть другие значения, начинающиеся с «aspmx». В Microsoft 365 значение MX индивидуально для каждого домена. Вы получаете его в центре администрирования, и выглядит оно так: something.mail.protection.outlook.com.

Практические правила для MX:

• После добавления новой записи удалите старые MX-записи. Согласно инструкции Google, если оставить старые или неверные записи, почта может работать неправильно.
• Документация Microsoft рекомендует одну MX-запись, указывающую на одну почтовую систему. Несколько записей могут вызвать проблемы с доставкой.
• Изменение вступает в силу не сразу. Microsoft пишет, что изменение DNS обычно активируется примерно за 15 минут, но иногда требуется больше времени. Google же предупреждает, что распознавание новой MX-записи может занять до 72 часов.

SPF: кому разрешено отправлять письма от вашего имени

SPF — это запись типа TXT, в которой перечислены серверы и сервисы, которым разрешено отправлять почту от имени вашего домена. С её помощью принимающая система проверяет, не было ли письмо отправлено от вашего имени из постороннего источника. Главное правило: на домене должна быть только одна SPF-запись. Если, помимо Microsoft или Google, письма с вашего домена отправляет и другой сервис, например платформа для рассылки новостей или CRM, все источники нужно объединить в одной записи. Microsoft также советует в сложных организациях, где трудно выявить все источники, быстро запустить DKIM и DMARC в режиме мониторинга.

DKIM: цифровая подпись письма

DKIM добавляет цифровую подпись к письму, отправленному от вашего имени, а получатель проверяет эту подпись с помощью ключа, опубликованного в DNS. Документация Microsoft рекомендует настроить DKIM на всех собственных доменах и поддоменах, с которых отправляется почта. Точные записи, которые нужно добавить в DNS, вам покажет панель администратора вашего почтового сервиса. Одного DKIM недостаточно, чтобы защитить ваш домен от подделки. Он должен работать вместе с SPF и DMARC.

DMARC: что произойдёт с письмом, не прошедшим проверку

DMARC связывает SPF и DKIM с адресом, который получатель видит в поле «От кого». В нём записано, как должна поступить принимающая система, если письмо не прошло проверку: ничего не делать и только прислать вам отчёт, пометить письмо как подозрительное или отклонить его. Согласно документации Microsoft, для собственных доменов запись DMARC тоже создаётся в DNS, а не в портале Microsoft 365. Запись DMARC автоматически распространяется и на поддомены, если у них нет собственной записи DMARC. Однако каждому поддомену для DMARC всё равно нужны SPF и DKIM.

Правильная последовательность

Согласно официальным инструкциям Microsoft, сначала настраивается SPF, затем DKIM и в последнюю очередь DMARC. DMARC в начале запускается в режиме «ничего не делать», то есть только для наблюдения. В отчётах вы увидите, какие источники отправляют почту от имени вашего домена и кто проходит проверку. Переходить к строгому режиму стоит только тогда, когда вы убедитесь, что все легитимные отправители настроены правильно. Иначе настоящие письма могут потеряться.

Краткий чек-лист перед запуском

• Выясните, где управляется DNS вашего домена и у кого есть к нему доступ.
• Сохраните копию существующих DNS-записей, особенно MX и TXT.
• Выпишите все сервисы, которые отправляют письма с вашего домена: бухгалтерия, интернет-магазин, формы на сайте, агентства.
• TXT-запись для подтверждения домена не меняет направление почты. Направление писем меняется только тогда, когда вы меняете запись MX. Поэтому планируйте смену MX на время, когда все готовы.
• После изменения проверьте работу в обоих направлениях: отправьте письмо на внешний адрес и получите письмо извне.
• После включения DKIM проверьте, проходят ли отправляемые вами письма проверку SPF и DKIM. Затем опубликуйте DMARC в режиме мониторинга.

Частые ошибки

• Создание двух SPF-записей: одной для Microsoft, другой для другого сервиса. Правильно — одна объединённая запись.
• Оставленная старая MX-запись, из-за чего почта частично попадает в старую систему.
• Включение DMARC в строгом режиме до проверки двух других записей.
• Забытые поддомены: каждому поддомену, с которого отправляется почта, нужны свои SPF и DKIM.

Настройка корпоративной почты не сложна, но требует внимания к деталям. Если вы предпочитаете, чтобы это сделала грузинская IT-команда, Appy.ge может вам помочь. Appy — официальный партнёр Microsoft по программе CSP, а также настраивает Google Workspace.

Источники:
• Set up MX records for Google Workspace - Google Workspace Admin Help — https://support.google.com/a/answer/6150791?hl=en
• External Domain Name System records for Microsoft 365 - Microsoft Learn — https://learn.microsoft.com/en-us/microsoft-365/enterprise/external-domain-name-system-records?view=o365-worldwide
• Set up SPF to identify valid email sources for your Microsoft 365 domain - Microsoft Learn — https://learn.microsoft.com/sr-Latn-RS/defender-office-365/email-authentication-spf-configure
• How to use DKIM for email in your custom domain - Microsoft Learn — https://learn.microsoft.com/en-us/defender-office-365/email-authentication-dkim-configure
• Set up DMARC to validate email in Microsoft 365 - Microsoft Learn — https://learn.microsoft.com/en-us/defender-office-365/email-authentication-dmarc-configure