Łączenie z Microsoft 365

Moduł 7: Łączenie usług zewnętrznych · Czas czytania: 9 min

Cel lekcji: Po tej lekcji będą Państwo potrafili umieścić rekordy DNS dla Microsoft 365 i sprawdzić, czy są one poprawnie ustawione.

Kluczowe pojęcia: weryfikacyjny TXT (MS=ms...), MX do Microsoft, SPF include, DKIM CNAME (selector1 i selector2), autodiscover, centrum administracyjne

Dlaczego Microsoft 365 potrzebuje rekordów

Dzięki Microsoft 365 poczta e-mail trafia na serwery Microsoft. Strona internetowa może pozostać u dotychczasowego dostawcy hostingu. Aby ten podział działał, Microsoft potrzebuje od Państwa DNS kilku elementów:

1. dowodu, że domena należy do Państwa (weryfikacja);
2. miejsca, gdzie przychodzi poczta (MX);
3. pozwolenia na wysyłanie poczty w imieniu Państwa domeny (SPF);
4. podpisu pod wiadomościami (DKIM);
5. rekordu, dzięki któremu Outlook sam znajduje ustawienia (autodiscover).

Rekordy te umieszcza się u dostawcy, który zarządza DNS Państwa domeny. Nie wiedzą Państwo, kto to jest? Proszę sprawdzić serwery nazw swojej domeny (lekcja 2.1). Jeśli zmiany zostaną wprowadzone w innym miejscu, nic się nie stanie.

Najważniejsza zasada tej lekcji: zawsze proszę przejąć dokładnie to, co centrum administracyjne Microsoft pokazuje dla Państwa domeny. Poniższe przykłady pokazują, jak wyglądają takie rekordy. Dokładne wartości różnią się w zależności od domeny i subskrypcji, a Microsoft czasem zmienia ich format.

Krok 1: weryfikacja domeny

Gdy dodają Państwo domenę w centrum administracyjnym Microsoft 365, otrzymują Państwo rekord TXT z kodem:

example.com.   3600   IN   TXT   "MS=ms12345678"

Proszę umieścić ten rekord na gołej domenie (@). Następnie w centrum administracyjnym proszę kliknąć przycisk weryfikacji. Jeśli nie uda się to od razu, proszę odczekać kwadrans i spróbować ponownie: czasami resolver ma jeszcze w pamięci podręcznej starą odpowiedź (lekcja 6.1). Ten rekord TXT może istnieć obok innych rekordów TXT, także obok Państwa rekordu SPF (lekcja 4.2).

Krok 2: MX do Microsoft

Rekord MX wskazuje na serwer pocztowy powiązany z Państwa domeną. Przez długi czas była to nazwa domeny z myślnikami zamiast kropek, zakończona ciągiem mail.protection.outlook.com:

example.com.   3600   IN   MX   0 example-com.mail.protection.outlook.com.

Nowsze subskrypcje otrzymują czasem adres kończący się na mx.microsoft, na przykład coś w rodzaju example-com.x-v1.mx.microsoft. To nie jest literówka: .microsoft to prawdziwa domena najwyższego poziomu. Który z tych dwóch wariantów Państwo otrzymają, widać w centrum administracyjnym. Proszę przejąć go dokładnie, z kropką na końcu, jeśli Państwa panel tego wymaga (lekcja 2.2).

Dwie rzeczy często idą tu nie tak:

• Pozostawienie starych rekordów MX. Proszę usunąć rekordy MX wskazujące na poprzedni serwer pocztowy. Jeśli pozostaną, część poczty nadal będzie trafiać w stare miejsce, nawet przy wyższym priorytecie (lekcja 4.1).
• Lokalne doręczanie u dostawcy hostingu. Wiele paneli hostingowych doręcza pocztę z własnej strony internetowej (formularz kontaktowy, sklep internetowy) bezpośrednio do skrzynki na tym samym serwerze, jeśli uważa, że Państwa poczta tam właśnie "mieszka". W DirectAdmin ustawienie to nosi nazwę "Użyj tego serwera do obsługi mojej poczty e-mail" (Use this server to handle my email). Po przestawieniu MX na Microsoft proszę wyłączyć to lokalne doręczanie. W przeciwnym razie formularze nigdy nie dotrą do Microsoft. W innych panelach ustawienie to nazywa się na przykład "Remote mail exchanger" lub "Wyłącz lokalną pocztę".

Krok 3: uzupełnienie SPF, a nie powielanie

Microsoft wymaga, aby w Państwa rekordzie SPF znalazło się:

include:spf.protection.outlook.com

Mają już Państwo rekord SPF? Proszę nie tworzyć drugiego, tylko dodać ten include do istniejącego rekordu. Dwa rekordy SPF powodują, że SPF staje się nieważny (lekcja 4.3). Jeśli Państwa strona wysyła pocztę przez serwer dostawcy hostingu, proszę pozostawić również ten wpis w rekordzie:

example.com.   3600   IN   TXT   "v=spf1 a mx include:spf.hosting.example include:spf.protection.outlook.com ~all"

Proszę pamiętać o limicie dziesięciu zapytań DNS: każdy include się liczy, a includy Microsoft same w sobie również generują kolejne zapytania.

Krok 4: DKIM z dwoma rekordami CNAME

Microsoft podpisuje Państwa pocztę kluczem przechowywanym u siebie. Państwo tworzą jedynie dwa odwołania, jako CNAME:

selector1._domainkey.example.com.   3600   IN   CNAME   selector1-example-com._domainkey.example.x-v1.dkim.mail.microsoft.
selector2._domainkey.example.com.   3600   IN   CNAME   selector2-example-com._domainkey.example.x-v1.dkim.mail.microsoft.

Od maja 2025 nowe domeny otrzymują ten format, kończący się na dkim.mail.microsoft. Litera przed -v1 (tutaj x) różni się w zależności od subskrypcji. Starsze domeny często mają jeszcze format kończący się na onmicrosoft.com, na przykład selector1-example-com._domainkey.example.onmicrosoft.com. Oba warianty działają. Również tutaj obowiązuje zasada: proszę skopiować wartości z centrum administracyjnego (w ustawieniach DKIM w portalu Defender), a nie wymyślać ich samodzielnie.

Dlaczego dwa? Microsoft co jakiś czas zmienia klucze (rotacja kluczy). Jeśli w Państwa DNS znajduje się tylko selector1, DKIM będzie działać do pierwszej zmiany, a potem nagle przestanie. Dlatego proszę zawsze utworzyć oba.

Gdy rekordy CNAME są widoczne, proszę włączyć DKIM w centrum administracyjnym. Częstym błędem jest utworzenie rekordu TXT tam, gdzie wymagany jest CNAME; Microsoft zgłasza wtedy brak CNAME.

Proszę zwrócić uwagę na nazwę: w panelu zazwyczaj wpisuje się tylko selector1._domainkey. Jeśli wpiszą Państwo całą nazwę, a panel sam doda Państwa domenę na końcu, powstanie selector1._domainkey.example.com.example.com (lekcja 8.4).

Krok 5: autodiscover

Podczas konfigurowania konta Outlook szuka nazwy autodiscover.<Państwa domena>. Proszę skierować tę nazwę do Microsoft:

autodiscover.example.com.   3600   IN   CNAME   autodiscover.outlook.com.

Istnieje już rekord A lub wildcard kierujący autodiscover na Państwa serwer WWW? CNAME o tej samej nazwie nie może istnieć obok innego rekordu: proszę najpierw usunąć rekord A dla autodiscover. Wobec wildcardu (*) nie trzeba nic robić: nazwa ustawiona osobno ma pierwszeństwo (lekcja 3.3).

A co z DMARC?

Microsoft nie wymaga tego podczas konfiguracji, ale bez DMARC poczta częściej trafia do spamu. Jeśli mają już Państwo rekord DMARC, może on pozostać bez zmian. Proszę jednak upewnić się, że SPF i DKIM dla Microsoft działają poprawnie, zanim ustawią Państwo politykę na quarantine lub reject (lekcja 4.5).

W praktyce: jak to wygląda w panelu

W przykładowym panelu Moje WebOké na karcie DNS domeny znajduje się sekcja Ustawienia poczty e-mail z opcją Szybka konfiguracja. Jeśli wybiorą tam Państwo Microsoft 365, zobaczą Państwo z góry, jakie rekordy zostaną utworzone: MX, uzupełnienie SPF i autodiscover, a lokalne doręczanie zostanie wyłączone. Weryfikacyjny TXT i rekordy CNAME DKIM otrzymają Państwo od samego Microsoft; dodaje się je osobno za pomocą przycisku Dodaj rekord. W DirectAdmin można zrobić to samo przez Rekordy MX (szablon Microsoft 365 oraz pole wyboru wyłączające doręczanie) oraz Administrację DNS.

Korzystają Państwo z innego panelu, na przykład cPanel, Plesk, Cloudflare lub ekranu DNS u rejestratora? Przyciski mogą się tam nazywać inaczej, ale pola są takie same: nazwa, typ, wartość i TTL. Niektórzy rejestratorzy mają też przycisk "Microsoft 365", który ustawia wszystkie rekordy od razu.

Podsumowanie

• Proszę przejąć wszystkie wartości z centrum administracyjnego Microsoft 365, a nie z przykładu.
• Weryfikacja: TXT MS=ms... na @. MX: adres podany przez Microsoft dla Państwa domeny; proszę usunąć stare rekordy MX.
• SPF: proszę dodać include:spf.protection.outlook.com do istniejącego rekordu, nie tworzyć drugiego.
• DKIM: dwa rekordy CNAME, selector1 i selector2, oba są potrzebne ze względu na rotację kluczy.
• Autodiscover: CNAME do autodiscover.outlook.com, oraz wyłączenie lokalnego doręczania u dostawcy hostingu.

Quiz

Zadanie

Zadanie Z7.1: Rozpoznawanie Microsoft 365. Proszę sprawdzić, jak dwie prawdziwe organizacje korzystają z Microsoft 365: microsoft.com oraz sidn.nl (strona SIDN, rejestru domeny .nl w Holandii).

1. Proszę znaleźć rekord MX domeny sidn.nl oraz microsoft.com. Która z nich używa starego formatu (mail.protection.outlook.com), a która nowego (mx.microsoft)?
2. Proszę znaleźć w rekordzie SPF domeny sidn.nl include Microsoft i przepisać go.
3. Proszę znaleźć rekord CNAME selector1._domainkey.sidn.nl. Na jakie słowo kończy się nazwa docelowa (dwa ostatnie elementy)?

Proszę wpisać odpowiedzi w polu. Weryfikacja sprawdza rekordy na żywo w momencie przesłania odpowiedzi, więc jeśli organizacja coś zmieni, liczy się nowa odpowiedź.

Zadanie O7.1: Samodzielna konfiguracja w strefie ćwiczeniowej. Proszę połączyć swoją strefę ćwiczeniową <code>.dnspractice.eu z symulowanym Microsoft 365. W strefie ćwiczeniowej korzystają Państwo z fikcyjnej usługi office-demo.dnspractice.eu; w przypadku prawdziwej domeny wartości przejmują Państwo z centrum administracyjnego Microsoft 365.

1. Weryfikacja: proszę ustawić rekord TXT na <code>.dnspractice.eu z kodem podanym na stronie zadania (MS=oefen-<code>-<...>).
2. MX: proszę sprawić, aby <code>.dnspractice.eu odbierała pocztę na mail.protection.office-demo.dnspractice.eu. z priorytetem 0. Proszę usunąć inne rekordy MX na <code>.dnspractice.eu.
3. SPF: proszę uzupełnić istniejący rekord SPF na <code>.dnspractice.eu o include:_spf.office-demo.dnspractice.eu, pozostawiając mx. Może istnieć tylko jeden rekord SPF.
4. DKIM: proszę utworzyć CNAME selector1._domainkey.<code>.dnspractice.eu wskazujący na selector1.dkim.office-demo.dnspractice.eu. oraz CNAME selector2._domainkey.<code>.dnspractice.eu wskazujący na selector2.dkim.office-demo.dnspractice.eu.
5. Autodiscover: proszę utworzyć CNAME autodiscover.<code>.dnspractice.eu wskazujący na autodiscover.office-demo.dnspractice.eu.

Więcej informacji

Poniższe strony opisują te kroki w panelach WebOké (DirectAdmin i Moje WebOké). W innych panelach działa to w podobny sposób.

• Instrukcja DirectAdmin 5.10: E-mail przy Microsoft 365 lub Google Workspace, strona internetowa w WebOké
• Podręcznik WebOké 5.6: Szybka konfiguracja poczty e-mail w DNS
• Państwa poczta e-mail gdzie indziej: Microsoft 365, Google Workspace lub własny serwer pocztowy
• Wysyłanie poczty przez PHP nie działa, rekordy MX wskazują na inny serwer
• Instrukcja DirectAdmin 5.7: Ustawianie i uzupełnianie SPF