Usługi newsletterowe i wysyłkowe

Moduł 7: Łączenie usług zewnętrznych · Czas czytania: 8 min

Cel lekcji: Po tej lekcji będą Państwo potrafili skonfigurować usługę newsletterową lub wysyłkową w taki sposób, aby Państwa poczta nie trafiała do spamu.

Kluczowe pojęcia: weryfikacja domeny (uwierzytelnianie), DKIM przez CNAME, selektor, include w SPF tylko jeśli usługa o to prosi, limit 10 zapytań, uzgodnienie DMARC przez DKIM, nie dotykać MX

Dlaczego usługa newsletterowa prosi o rekordy

Usługa newsletterowa taka jak Mailchimp, Brevo czy MailerLite, albo usługa wysyłkowa do faktur i potwierdzeń, wysyła pocztę z Państwa adresem jako nadawcą, na przykład nieuws@example.com. Jednak poczta pochodzi z serwerów tej usługi, nie z Państwa serwera pocztowego.

Odbiorcy tacy jak Gmail i Outlook.com sprawdzają wtedy: czy ten serwer może wysyłać pocztę w imieniu example.com, i czy podpis się zgadza (lekcja 4.3 do 4.5). Jeśli nie jest to uregulowane, newsletter trafia do spamu, albo usługa przepisuje adres nadawcy na własny adres. Dlatego usługa prosi o uwierzytelnienie Państwa domeny: kilka rekordów w Państwa DNS.

Czego usługa nie potrzebuje: Państwa rekordów MX. Określają one, dokąd trafia Państwa poczta przychodząca. Newsletter jedynie wysyłają Państwo przez tę usługę; odpowiedzi trafiają normalnie do Państwa własnej skrzynki. Dlatego nigdy nie należy zmieniać MX dla usługi newsletterowej.

DKIM przez CNAME

Większość usług pozwala skonfigurować DKIM za pomocą rekordów CNAME. Usługa sama zarządza kluczem; Państwo jedynie wskazują na niego. Dzięki temu usługa może wymienić klucz bez żadnego działania z Państwa strony.

Mailchimp w momencie pisania tego tekstu używa w przypadku nowszych kont dwóch rekordów:

k2._domainkey.example.com.   3600   IN   CNAME   dkim2.mcsv.net.
k3._domainkey.example.com.   3600   IN   CNAME   dkim3.mcsv.net.

Starsze konta mają często jeden rekord k1._domainkey wskazujący na dkim.mcsv.net. Inne usługi używają innych selektorów, takich jak brevo1._domainkey czy ml._domainkey. Proszę przepisać dokładnie to, co pokazuje panel Państwa usługi. Nazwy i wartości docelowe różnią się w zależności od usługi i konta, i czasami się zmieniają.

k2 i k3 to selektory (lekcja 4.4). Każda usługa ma własny selektor, dzięki czemu rekordy nie kolidują ze sobą ani z kluczem DKIM Państwa własnego serwera pocztowego.

Trzy błędy, które popełnia niemal każdy

1. Podwójna nazwa domeny. Panel często sam dodaje Państwa nazwę domeny za wpisaną nazwą. Jeśli wpiszą Państwo k2._domainkey.example.com, powstanie k2._domainkey.example.com.example.com. Proszę wpisać jedynie k2._domainkey, chyba że panel wyraźnie prosi o pełną nazwę. Pod polem zwykle widać, jaka nazwa powstanie.
2. Zapomnienie o kropce na końcu wartości. Bez kropki panel może zrobić z dkim2.mcsv.net coś w rodzaju dkim2.mcsv.net.example.com. Niektóre panele same dodają kropkę; proszę sprawdzić po zapisaniu, jak wygląda rekord (lekcja 2.2).
3. TXT zamiast CNAME. Jeśli usługa prosi o CNAME, proszę utworzyć CNAME. Rekord TXT z tekstem dkim2.mcsv.net nie działa.

SPF: tylko jeśli usługa o to prosi

Przy SPF wiele osób myśli: każda usługa, która wysyła pocztę, musi znaleźć się w moim rekordzie SPF. To nie zawsze prawda.

SPF sprawdza adres w kopercie wiadomości (Return-Path), nie adres nadawcy widoczny dla odbiorcy. Wiele usług newsletterowych, w tym Mailchimp, używa w kopercie własnej domeny. Kontrola SPF przebiega więc na ich własnej domenie, a Państwa rekord SPF nie odgrywa żadnej roli. Dlatego Mailchimp nie prosi o include w Państwa rekordzie SPF.

Inne usługi używają w kopercie adresu w Państwa domenie, albo pozwalają skonfigurować własną subdomenę (na przykład bounce.example.com). Te proszą o include: w Państwa rekordzie SPF, albo o rekord SPF na tej subdomenie. Proszę więc postępować dokładnie zgodnie z tym, o co prosi usługa:

• jeśli usługa prosi o include, proszę umieścić go w istniejącym rekordzie SPF, nigdy w drugim (lekcja 4.3);
• jeśli usługa o to nie prosi, proszę niczego nie dodawać.

Dlaczego warto oszczędzać? Rekord SPF może przy jednej kontroli spowodować maksymalnie 10 zapytań DNS. Każdy include, a, mx, exists i redirect jest wliczany, a includy usługi same często zawierają kolejne includy. Przy hoście strony, Microsoft 365, usłudze newsletterowej, programie księgowym i systemie CRM łatwo przekroczyć ten limit. Wówczas cały rekord SPF staje się nieważny (permerror). Proszę usuwać includy usług, z których już Państwo nie korzystają, albo które o nie nie proszą.

DMARC: tutaj rozstrzyga się sprawa

DMARC (lekcja 4.5) akceptuje wiadomość, jeśli SPF lub DKIM zakończy się powodzeniem i jest zgodny z domeną w adresie nadawcy (uzgodnienie). Przy usłudze newsletterowej, która w kopercie używa własnej domeny, SPF nigdy nie może zostać uzgodnione z example.com. DMARC może wtedy zakończyć się powodzeniem jedynie przez DKIM: podpis z d=example.com, który otrzymają Państwo tylko wtedy, gdy ustawią rekordy CNAME.

Dlatego:

1. proszę najpierw ustawić rekordy DKIM usługi;
2. poczekać, aż usługa zgłosi, że Państwa domena jest uwierzytelniona;
3. wysłać testową wiadomość do siebie i sprawdzić w nagłówkach, czy DKIM ma status pass z d=example.com;
4. dopiero potem zmienić politykę DMARC z none na quarantine lub reject.

Jeśli nie mają Państwo jeszcze rekordu DMARC, wiele usług poprosi o jego utworzenie. Proszę zacząć od p=none (lekcja 4.5). Duzi odbiorcy, tacy jak Gmail i Yahoo, od 2024 roku wymagają, aby nadawcy masowych wiadomości mieli rekord DMARC.

Odpowiedzi i zwroty

Gdy czytelnik odpowiada na Państwa newsletter, trafia to na adres zwrotny ustawiony w usłudze, a przez Państwa MX do Państwa własnej skrzynki. Niedostarczone wiadomości (bounce) trafiają na adres z koperty, czyli do usługi, która je przetwarza. Również w tym przypadku nie trzeba nic zmieniać w Państwa MX.

W praktyce: tak wygląda to w panelu

W przykładowym panelu DirectAdmin otwierają Państwo Administrację DNS, klikają Dodaj rekord, wybierają CNAME, w polu Nazwa wpisują jedynie k2._domainkey, a w polu Wartość dkim2.mcsv.net. z kropką. Następnie powtarzają Państwo tę samą czynność dla k3. W Moje WebOké na zakładce DNS wygląda to podobnie; okno pokazuje pod polem nazwy pełną nazwę i ostrzega, jeśli brakuje kropki.

W innych panelach, takich jak cPanel, Plesk, Cloudflare czy ekran DNS Państwa rejestratora, przyciski nazywają się inaczej, ale są to te same pola. W przypadku Cloudflare proszę zwrócić uwagę na proxy: rekordy dla DKIM należy ustawić na „DNS only” (Cloudflare zazwyczaj robi to sam w przypadku CNAME-ów z _domainkey).

Podsumowanie

• Usługa newsletterowa nie potrzebuje Państwa rekordów MX; proszę je pozostawić bez zmian.
• DKIM zazwyczaj konfiguruje się przez rekordy CNAME z własnym selektorem. Proszę przepisać dokładnie to, co pokazuje panel.
• Proszę wpisywać jedynie pierwszą część nazwy i zwracać uwagę na kropkę na końcu wartości.
• Include SPF należy dodawać tylko wtedy, gdy usługa o to prosi, w istniejącym rekordzie, pozostając poniżej 10 zapytań.
• DMARC przy takich usługach działa przez uzgodnienie z DKIM; politykę należy zaostrzać dopiero, gdy DKIM działa.

Quiz

Zadanie

Zadanie Z7.4: Rozpoznanie usługi newsletterowej. Proszę sprawdzić, jak usługa newsletterowa sama konfiguruje swój DKIM.

1. Proszę odnaleźć rekord CNAME dla k2._domainkey.mailchimp.com oraz dla k3._domainkey.mailchimp.com. Proszę przepisać nazwy docelowe.
2. Proszę odnaleźć rekord SPF domeny mailchimp.com i policzyć, ile elementów include: się w nim znajduje.

Kontrola pobiera rekordy na żywo w momencie przesłania odpowiedzi.

Zadanie O7.4: Samodzielna konfiguracja w strefie ćwiczeniowej. Proszę połączyć symulowaną usługę newsletterową ze swoją strefą ćwiczeniową <code>.dnspractice.eu. W strefie ćwiczeniowej korzystają Państwo z fikcyjnej usługi newsletter-demo.dnspractice.eu; w przypadku prawdziwej domeny proszę przepisać wartości z panelu Państwa usługi newsletterowej.

1. Proszę utworzyć CNAME k2._domainkey.<code>.dnspractice.eu wskazujący na dkim2.newsletter-demo.dnspractice.eu. Proszę zwrócić uwagę na nazwę: bez podwójnej strefy na końcu.
2. Proszę utworzyć CNAME k3._domainkey.<code>.dnspractice.eu wskazujący na dkim3.newsletter-demo.dnspractice.eu.
3. Proszę zadbać, aby w <code>.dnspractice.eu znajdował się dokładnie jeden rekord SPF, który zaczyna się od v=spf1 i kończy na ~all lub -all. Dla tej usługi proszę nie dodawać include.
4. Proszę pozostawić rekordy MX w <code>.dnspractice.eu bez zmian: ta usługa ich nie potrzebuje.

Dalsza lektura

Poniższe strony opisują te kroki w panelach WebOké (DirectAdmin i Moje WebOké). W innych panelach działa to w ten sam sposób.

• Zarządzanie rekordami DNS w Moje WebOké (z przykładami dla CNAME, TXT i usług zewnętrznych)
• Instrukcja DirectAdmin 5.4: Rekordy CNAME i kropka na końcu
• Instrukcja DirectAdmin 5.8: DKIM włączanie i sprawdzanie
• Instrukcja DirectAdmin 5.7: Ustawianie i uzupełnianie SPF
• Czym jest DMARC? Wyjaśnienie w prostych słowach