Rekord MX – priorytety, zapasowy MX i null MX w praktyce

Do czego służy rekord MX

Gdy ktoś wysyła wiadomość na adres anna@firma.pl, jego serwer pocztowy musi wiedzieć, dokąd ją dostarczyć. Pyta więc DNS o rekordy MX (mail exchanger) domeny firma.pl, dostaje jedną lub kilka nazw hostów, ustala ich adresy IP i łączy się z nimi przez SMTP. Strona internetowa, rekord A ani firma, u której kupiłeś domenę, nie mają tu nic do rzeczy – liczą się wyłącznie rekordy MX.

Oznacza to również, że MX dotyczy tylko poczty przychodzącej. O tym, czy Twoja poczta wychodząca jest wiarygodna, decydują SPF, DKIM i DMARC oraz odwrotny DNS serwera nadawczego (zob. rekord PTR i reverse DNS).

Składnia rekordu MX

Wartość rekordu MX składa się z dwóch części: liczby określającej priorytet i nazwy hosta serwera pocztowego.

firma.pl.  3600  IN  MX  10 mx.dostawca.example.

Priorytet to liczba 16-bitowa (od 0 do 65535). Jej wartość bezwzględna nie ma znaczenia – liczy się tylko kolejność, więc 10 i 20 działają dokładnie tak samo jak 1 i 2. Przy jednym rekordzie MX priorytet jest obojętny.

Priorytety i kilka rekordów MX

Specyfikacja SMTP (RFC 5321, sekcja 5.1) określa, jak nadawca korzysta z kilku rekordów MX: sortuje je według priorytetu, zaczyna od najniższej liczby, a do kolejnego serwera przechodzi dopiero wtedy, gdy poprzedni jest nieosiągalny. Rekordy o tym samym priorytecie dzielą się ruchem – nadawca ma wybierać między nimi losowo.

firma.pl.  MX  10 mx1.dostawca.example.
firma.pl.  MX  10 mx2.dostawca.example.
firma.pl.  MX  20 mx3.dostawca.example.

Duzi dostawcy często podają kilka takich serwerów. Opublikuj je wszystkie, dokładnie w podanej postaci – to części tej samej usługi.

Czy potrzebujesz zapasowego MX?

„Zapasowy MX” (backup MX) to serwer o niższym priorytecie, prowadzony przez kogoś innego, który przyjmuje pocztę, gdy główny serwer nie działa, i przekazuje ją później. Kiedyś była to popularna rada, dziś zwykle się nie opłaca:

• Serwery nadawców same kolejkują pocztę, której nie mogą dostarczyć, i ponawiają próby. Według RFC 5321 czas, po którym nadawca się poddaje, powinien wynosić zazwyczaj co najmniej 4–5 dni, więc kilka godzin awarii oznacza opóźnienie, a nie utratę wiadomości.
• Zapasowy MX, który nie wie, jakie skrzynki istnieją, musi przyjmować wszystko, a nieistniejące adresy odbijać później – wysyła wtedy zwrotki na sfałszowane adresy nadawców (tzw. backscatter) i sam traci reputację.
• Zapasowy MX potrzebuje takiego samego filtrowania spamu jak serwer główny. Jeśli filtruje słabiej, wszystko, co przyjmie, trafia do Twoich skrzynek tylnymi drzwiami.

Jeśli dostawca podaje kilka serwerów MX, to właśnie jest jego redundancja. Nie dopisuj obok nich serwera innej firmy – poczta rozdzieliłaby się między dwa miejsca, a część trafiałaby do skrzynki, do której nikt nie zagląda.

MX musi wskazywać nazwę hosta, a nie IP ani CNAME

Dwie zasady regularnie sprawiają kłopot:

• Żadnych adresów IP. Wartością rekordu MX jest nazwa domenowa. Dla DNS MX 10 192.0.2.25 nie jest adresem IP, tylko nieistniejącym hostem o nazwie „192.0.2.25”. Nadaj serwerowi nazwę, dodaj dla niej rekord A (i AAAA) i dopiero tę nazwę wpisz w MX.
• Żadnych aliasów CNAME. RFC 2181 (sekcja 10.3) mówi wprost, że nazwa w rekordzie MX nie może być aliasem, a RFC 5321 uznaje MX wskazujący na CNAME za wykraczający poza standard. Część nadawców i tak podąży za aliasem, część nie – dlatego MX zawsze kieruj bezpośrednio na nazwę z rekordami adresowymi.

firma.pl.       MX     10 192.0.2.25
firma.pl.       MX     10 poczta.firma.pl.
poczta.firma.pl.  CNAME  serwer.hosting.example.

firma.pl.         MX    10 poczta.firma.pl.
poczta.firma.pl.  A     192.0.2.25
poczta.firma.pl.  AAAA  2001:db8::25

Sama domena (firma.pl) i tak nie może być CNAME-em, jeśli ma rekordy MX: nazwa z rekordem CNAME nie może mieć żadnych innych rekordów. Zwróć też uwagę na kropkę na końcu nazwy w składni pliku strefy – bez niej wiele edytorów dokleja do wartości Twoją domenę. Te pułapki paneli DNS opisuje poradnik jak dodać rekordy DNS u rejestratora.

Co się dzieje, gdy domena nie ma rekordu MX

Jeśli domena nie ma żadnego rekordu MX, nadawcy sięgają po jej rekord A lub AAAA i próbują dostarczyć pocztę tam, tak jakby był to MX o priorytecie 0 (reguła „implicit MX” z RFC 5321). Domena, której strona stoi na serwerze WWW, dostaje więc próby doręczenia na ten serwer. Jeśli nic nie nasłuchuje na porcie 25, nadawca przez kilka dni ponawia próby, zanim odeśle wiadomość jako niedoręczoną.

Null MX – „ta domena nie przyjmuje poczty”

Dla domen, które nigdy nie powinny odbierać poczty – zaparkowanych, kupionych dla ochrony marki, subdomen wyłącznie pod stronę WWW – RFC 7505 definiuje null MX: pojedynczy rekord MX z priorytetem 0 i samą kropką jako nazwą serwera.

zaparkowana.example.  MX  0 .

• Nadawca od razu dostaje jasny błąd, zamiast trzymać wiadomość w kolejce przez kilka dni.
• Domena z null MX nie może mieć żadnego innego rekordu MX. Nie ustawiaj go też w domenie, z której wysyłasz pocztę: RFC 7505 ostrzega, że serwery mogą odrzucać wiadomości od nadawców z domeną z null MX.
• Domena, która ani nie wysyła, ani nie odbiera poczty, zwykle dostaje null MX, rekord SPF v=spf1 -all i rekord DMARC z p=reject – wtedy nikt nie wyśle też poczty w jej imieniu.

Zmiana dostawcy poczty: TTL i kolejność kroków

Serwery DNS trzymają Twoje rekordy MX w pamięci tak długo, jak wynosi ich TTL. Przy TTL równym 86400 (jedna doba) część nadawców może jeszcze przez dobę po zmianie dostarczać pocztę do starego dostawcy. Żeby przeprowadzka przebiegła gładko:

1. Co najmniej jeden stary TTL przed zmianą obniż TTL rekordów MX do ok. 300–3600 sekund. Nowa wartość zacznie działać dopiero wtedy, gdy stara, dłuższa wygaśnie w pamięci serwerów.
2. Najpierw utwórz skrzynki u nowego dostawcy, żeby poczta, która tam trafi, miała dokąd pójść.
3. Podmień rekordy MX – stare usuń w tym samym kroku, zamiast zostawiać je obok nowych.
4. Przez kilka dni zaglądaj do starych skrzynek: rekordy z pamięci podręcznej i nadawcy, którzy wciąż ponawiają próby, mogą jeszcze przez jakiś czas dostarczać tam pocztę.
5. Gdy wszystko trafia już do nowego dostawcy, możesz z powrotem podnieść TTL.

Jeśli nowy dostawca wysyła też Twoją pocztę wychodzącą, zaktualizuj przy okazji rekord SPF – pamiętaj jednak, że to osobny rekord, a zmiana MX nie zmienia tego, kto może wysyłać pocztę w imieniu domeny.

Jak sprawdzić rekordy MX

dig MX firma.pl +short

nslookup -type=MX firma.pl

dig wypisuje jeden wiersz na rekord, np. 10 mx.dostawca.example.. Następnie sprawdź, czy każdy serwer ma adres: dig A mx.dostawca.example +short. Żeby zapytać konkretny serwer DNS zamiast własnego (przydaje się, gdy w pamięci podręcznej wiszą jeszcze stare wartości), dodaj @1.1.1.1 albo @8.8.8.8. Rekordy MX razem z SPF, DKIM i DMARC sprawdzisz też w narzędziu do sprawdzania domeny.

W AnyMail domena dostaje jeden rekord MX wskazujący na anymail.tech; strona konfiguracji DNS pokazuje dokładną wartość i sama ją sprawdza. Jeśli domena korzystała wcześniej z innego dostawcy, usuń jego rekordy MX, zamiast zostawiać je obok.