Hírlevél- és küldőszolgáltatások

7. modul: Külső szolgáltatások összekapcsolása · Olvasási idő: 8 perc

Tanulási cél: A lecke után Ön képes egy hírlevél- vagy küldőszolgáltatást úgy összekapcsolni, hogy levelei ne kerüljenek a spamba.

Kulcsfogalmak: domainhitelesítés (authentikáció), DKIM CNAME-en keresztül, selector, SPF-include csak ha a szolgáltatás kéri, a 10 lekérdezéses korlát, DMARC-illeszkedés DKIM-en keresztül, az MX-et ne módosítsa

Miért kér rekordokat egy hírlevélszolgáltatás

Egy hírlevélszolgáltatás, mint a Mailchimp, a Brevo vagy a MailerLite, vagy egy számlák és visszaigazolások küldésére szolgáló szolgáltatás, az Ön címét használja feladóként, például nieuws@example.com. A levél azonban a szolgáltatás szerverein keresztül érkezik, nem az Ön levelezőszerveréről.

A fogadó rendszerek, mint a Gmail és az Outlook.com, ellenőrzik: ez a szerver küldhet-e levelet a example.com nevében, és helyes-e az aláírás (4.3-tól 4.5-ig terjedő leckék)? Ha ez nincs rendezve, a hírlevele a spamba kerülhet, vagy a szolgáltatás átírja a feladót egy saját címre. Ezért kéri a szolgáltatás, hogy hitelesítse a domainjét: néhány rekordot kell beállítani a DNS-ében.

Amire a szolgáltatásnak nincs szüksége: az Ön MX-rekordjaira. Ezek határozzák meg, hová érkezzen a bejövő levele. Hírlevelet csak küld; a válaszok a saját postafiókjába érkeznek. Soha ne módosítsa az MX-et egy hírlevélszolgáltatás miatt.

DKIM CNAME-en keresztül

A legtöbb szolgáltatás CNAME-rekordokkal engedi beállítani a DKIM-et. A szolgáltatás maga tárolja a kulcsot, Ön csak rámutat. Így a szolgáltatás anélkül cserélheti le a kulcsot, hogy Önnek bármit is tennie kellene.

A Mailchimp e sorok írásakor az újabb fiókoknál két rekordot használ:

k2._domainkey.example.com.   3600   IN   CNAME   dkim2.mcsv.net.
k3._domainkey.example.com.   3600   IN   CNAME   dkim3.mcsv.net.

A régebbi fiókok gyakran egyetlen k1._domainkey rekordot használnak, amely a dkim.mcsv.net. címre mutat. Más szolgáltatások más selectorokat használnak, például brevo1._domainkey vagy ml._domainkey. Pontosan azt vegye át, amit az Ön szolgáltatásának vezérlőpultja mutat. A nevek és célok szolgáltatásonként és fiókonként eltérnek, és néha változnak.

A k2 és k3 selectorok (4.4. lecke). Minden szolgáltatásnak saját selectora van, így a rekordok nem zavarják egymást, és nem ütköznek az Ön saját levelezőszerverének DKIM-kulcsával sem.

Három hiba, amelyet szinte mindenki elkövet egyszer

1. Kétszeres domainnév. A felületen a domainnevet gyakran automatikusan hozzáfűzik a megadott névhez. Ha beírja, hogy k2._domainkey.example.com, abból k2._domainkey.example.com.example.com lesz. Csak a k2._domainkey részt adja meg, kivéve, ha a felület kifejezetten a teljes nevet kéri. A mező alatt rendszerint látható, milyen névvé alakul.
2. Elfelejtett pont az érték végén. Pont nélkül a felület a dkim2.mcsv.net értékből esetleg dkim2.mcsv.net.example.com értéket csinál. Egyes felületek maguk teszik ki a pontot; mentés után ellenőrizze, hogyan néz ki a rekord (2.2. lecke).
3. TXT CNAME helyett. Ha a szolgáltatás CNAME-et kér, akkor CNAME-et hozzon létre. Egy TXT-rekord, amelynek szövege dkim2.mcsv.net, semmit nem ér.

SPF: csak ha a szolgáltatás kéri

Az SPF-fel kapcsolatban sokan azt gondolják: minden levelet küldő szolgáltatásnak szerepelnie kell az SPF-rekordomban. Ez nem mindig igaz.

Az SPF a levél borítékában szereplő címet ellenőrzi (a Return-Path-t), nem a látható feladói címet. Sok hírlevélszolgáltatás, köztük a Mailchimp is, a borítékban saját domaint használ. Az ő SPF-ellenőrzésük tehát a saját domainjükön fut, és az Ön SPF-rekordjának nincs szerepe. A Mailchimp ezért nem kér include-ot az Ön SPF-rekordjába.

Más szolgáltatások viszont az Ön domainjéhez tartozó címet használnak a borítékban, vagy egy saját aldomain beállítását kérik (például bounce.example.com). Ezek kérhetnek include:-ot az SPF-rekordjába, vagy egy SPF-rekordot azon az aldomainen. Tegye tehát pontosan azt, amit a szolgáltatás kér:

• ha a szolgáltatás include-ot kér, azt a meglévő SPF-rekordjába helyezze, soha ne egy másodikba (4.3. lecke);
• ha a szolgáltatás nem kér ilyet, ne adjon hozzá semmit.

Miért érdemes takarékoskodni? Egy SPF-rekord ellenőrzésenként legfeljebb 10 DNS-lekérdezést okozhat. Minden include, a, mx, exists és redirect beleszámít, és egy szolgáltatás include-jai gyakran maguk is további include-okat tartalmaznak. Egy webtárhellyel, a Microsoft 365-tel, egy hírlevélszolgáltatással, egy könyvelőprogrammal és egy CRM-mel könnyen átlépi a határt. Ekkor az egész SPF-rekordja érvénytelenné válik (permerror). Távolítsa el az olyan szolgáltatások include-jait, amelyeket már nem használ, vagy amelyek nem kérik azt.

DMARC: itt dől el a lényeg

A DMARC (4.5. lecke) akkor fogadja el a levelet, ha az SPF vagy a DKIM sikeres és illeszkedik a feladói címben szereplő domainhez (uitlijning, azaz illeszkedés). Egy olyan hírlevélszolgáltatásnál, amely saját domaint használ a borítékban, az SPF soha nem tud illeszkedni a example.com domainhez. A DMARC ekkor csak DKIM-en keresztül lehet sikeres: olyan aláírással, amelyben d=example.com szerepel, ezt pedig csak akkor kapja meg, ha beállította a CNAME-rekordokat.

Ezért:

1. először állítsa be a szolgáltatás DKIM-rekordjait;
2. várja meg, amíg a szolgáltatás jelzi, hogy a domainje hitelesítve van;
3. küldjön egy teszt levelet saját magának, és a fejlécekben nézze meg, hogy a DKIM pass állapotú-e, d=example.com értékkel;
4. csak ezután módosítsa a DMARC-szabályzatát none-ról quarantine-ra vagy reject-re.

Ha még nincs DMARC-rekordja, sok szolgáltatás kéri, hogy hozzon létre egyet. Kezdje p=none beállítással (4.5. lecke). A nagy fogadó rendszerek, mint a Gmail és a Yahoo, 2024 óta megkövetelik, hogy a tömeges küldők rendelkezzenek DMARC-rekorddal.

Válaszok és bounce-ok

Ha egy olvasó válaszol a hírlevelére, az a szolgáltatásban beállított válaszcímre megy, majd az Ön MX-rekordján keresztül a saját postafiókjába. A kézbesíthetetlen üzenetek (bounce-ok) a borítékcímre mennek, tehát a szolgáltatáshoz, amely feldolgozza azokat. Ehhez sem kell módosítania az MX-rekordjait.

A gyakorlatban: így néz ki egy felületen

A példafelületen, a DirectAdminban megnyitja a DNS adminisztrációt, rákattint az Új rekord felvétele gombra, kiválasztja a CNAME típust, a Név mezőbe csak a k2._domainkey részt írja be, az Érték mezőbe pedig a dkim2.mcsv.net. értéket a ponttal együtt. Ezután ugyanígy jár el a k3 esetében. A Fiókom felületen, a DNS lapon ugyanígy működik; az ablak a névmező alatt megmutatja a teljes nevet, és figyelmeztet, ha a pont hiányzik.

Más felületeken, mint a cPanel, a Plesk, a Cloudflare vagy a regisztrátor DNS-képernyője, a gombok máshogy hívják, de ugyanazok a mezők. A Cloudflare esetében figyeljen a proxyra: a DKIM-rekordokat állítsa "DNS only" módba (a Cloudflare ezt a _domainkey előtagú CNAME-eknél rendszerint automatikusan megteszi).

Összefoglalás

• Egy hírlevélszolgáltatásnak nincs szüksége az Ön MX-rekordjaira; hagyja azokat érintetlenül.
• A DKIM beállítása legtöbbször CNAME-rekordokkal, saját selectorral történik. Pontosan azt vegye át, amit a vezérlőpultja mutat.
• Csak a név első részét adja meg, és ügyeljen az érték végén lévő pontra.
• SPF-include-ot csak akkor adjon hozzá, ha a szolgáltatás kéri, a meglévő rekordjába, és maradjon a 10 lekérdezés alatt.
• A DMARC az ilyen szolgáltatásoknál DKIM-illeszkedésen keresztül lesz sikeres; csak akkor szigorítsa a szabályzatát, ha a DKIM már működik.

Kvíz

Feladat

Z7.4 feladat: Egy hírlevélszolgáltatás felismerése. Nézze meg, hogyan állítja be saját maga a DKIM-et egy hírlevélszolgáltatás.

1. Keresse meg a k2._domainkey.mailchimp.com és a k3._domainkey.mailchimp.com CNAME-rekordját. Írja le a célneveket.
2. Keresse meg a mailchimp.com SPF-rekordját, és számolja meg, hány include: elem szerepel benne.

Az ellenőrzés a beküldéskor élőben lekérdezi a rekordokat.

O7.4 feladat: Önálló beállítás a gyakorlózónában. Kapcsoljon össze egy szimulált hírlevélszolgáltatást a gyakorlózónájával, a <code>.dnspractice.eu doménnel. A gyakorlózónában a newsletter-demo.dnspractice.eu álszolgáltatást használja; a valódi domainjénél az értékeket a hírlevélszolgáltatásának vezérlőpultjáról vegye át.

1. Hozzon létre egy CNAME-rekordot k2._domainkey.<code>.dnspractice.eu néven, amely a dkim2.newsletter-demo.dnspractice.eu. célra mutat. Ügyeljen a névre: ne szerepeljen utána kétszer a zóna.
2. Hozzon létre egy CNAME-rekordot k3._domainkey.<code>.dnspractice.eu néven, amely a dkim3.newsletter-demo.dnspractice.eu. célra mutat.
3. Ügyeljen rá, hogy a <code>.dnspractice.eu zónában pontosan egy SPF-rekord szerepeljen, amely v=spf1 résszel kezdődik és ~all vagy -all résszel végződik. Ehhez a szolgáltatáshoz ne adjon hozzá include-ot.
4. Hagyja érintetlenül a <code>.dnspractice.eu zóna MX-rekordjait: ennek a szolgáltatásnak nincs szüksége rájuk.

További olvasnivaló

Ezek az oldalak a WebOké felületein (DirectAdmin és Fiókom) bemutatott lépéseket írják le. Más felületeken ugyanígy működik.

• DNS rekordok kezelése a Fiókom felületen (CNAME, TXT és külső szolgáltatások példáival)
• DirectAdmin útmutató 5.4: A CNAME-rekordok és a záró pont
• DirectAdmin útmutató 5.8: DKIM bekapcsolása és ellenőrzése
• DirectAdmin útmutató 5.7: SPF beállítása és kiegészítése
• Mi az a DMARC? Magyarázat közérthető nyelven