Enregistrements DNS recommandés pour TrekMail

MX, SPF, DKIM et DMARC permettent le fonctionnement élémentaire de la messagerie. Pour les domaines qui reçoivent leur courrier dans TrekMail, le tableau de bord peut également afficher TLS-RPT et MTA-STS. Ces enregistrements améliorent le suivi et la protection de la distribution chiffrée, mais ne sont pas nécessaires pour commencer à échanger des messages.

Pour qui ?

• Les administrateurs qui recherchent le meilleur score de sécurité.
• Les utilisateurs dont le domaine est « Actif avec alertes ».

Enregistrements recommandés

Ils se trouvent dans la rubrique Délivrabilité de l'onglet DNS et état.

1. Rapports TLS (TLS-RPT)

Hôte : _smtp._tls

Valeur : v=TLSRPTv1; rua=mailto:tlsrpt@trekmail.net

Cet enregistrement indique aux autres systèmes où envoyer leurs rapports lorsqu'ils rencontrent un problème de connexion sécurisée avec votre domaine. Si votre compte utilise une zone de messagerie personnalisée, copiez l'adresse de rapport affichée dans le tableau de bord.

2. MTA-STS : sécurité stricte du transport

MTA-STS exige habituellement un serveur web qui héberge un fichier de politique. TrekMail s'en charge pour vous au moyen d'un CNAME. Deux enregistrements sont nécessaires.

Identifiant de politique (TXT)

Hôte : _mta-sts

Valeur : Copiez exactement la valeur v=STSv1; id=... affichée dans le tableau de bord.

Elle annonce aux autres systèmes qu'une politique existe et précise sa version actuelle.

Hôte de politique (CNAME)

Hôte : mta-sts

Valeur : mta-sts.trekmail.net.

Le sous-domaine mta-sts.yourdomain.com pointe ainsi vers nos serveurs, où nous publions automatiquement le fichier de politique HTTPS obligatoire.

[!NOTE] Préparation : Une fois les DNS visibles et le domaine actif, TrekMail peut préparer le point d'accès MTA-STS. Consultez son état dans le tableau de bord sans supposer un délai fixe.

États de MTA-STS

Après l'ajout des enregistrements DNS, TrekMail prépare automatiquement le certificat MTA-STS. Vous pouvez voir les états suivants :

Erreurs fréquentes et solutions

• Problème : Le domaine est « Actif avec alertes ».
  • Cause : Un ou plusieurs enregistrements recommandés manquent.
  • Solution : Ajoutez-les si vous souhaitez renforcer la sécurité du transport entrant et recevoir des rapports sur les échecs TLS. Ils ne sont pas indispensables à la messagerie de base et n'améliorent pas directement le placement en boîte de réception.
• Problème : MTA-STS affiche « Bloqué par DNS ».
  • Cause : Le CNAME mta-sts manque.
  • Solution : Ajoutez le CNAME affiché dans le tableau de bord : hôte mta-sts, valeur mta-sts.trekmail.net.
• Problème : MTA-STS affiche « Bloqué par Cloudflare ».
  • Cause : Cloudflare fait passer le sous-domaine mta-sts par son proxy, signalé par un nuage orange.
  • Solution : Dans les réglages DNS de Cloudflare, cliquez sur le nuage orange du CNAME mta-sts pour le passer en « DNS uniquement », avec un nuage gris. Seul ce sous-domaine doit être sans proxy; le domaine principal peut le conserver.
• Problème : MTA-STS affiche « Dégradé ».
  • Cause : Le point d'accès fonctionnait, mais ne répond plus.
  • Solution : Vérifiez que le CNAME pointe toujours vers mta-sts.trekmail.net, que le proxy Cloudflare est désactivé pour ce sous-domaine et qu'aucune règle de pare-feu ne bloque l'accès.
• Problème : Conflit de CNAME sur mta-sts.
  • Cause : Un ancien CNAME ou enregistrement A peut déjà exister pour mta-sts.
  • Solution : Supprimez l'ancien enregistrement et remplacez-le par le CNAME qui pointe vers mta-sts.trekmail.net.
• Problème : Confusion sur l'hôte TXT.
  • Conseil : Vérifiez si votre fournisseur exige le domaine complet. _mta-sts suffit généralement. Si vous saisissez _mta-sts.example.com, certains fournisseurs peuvent créer _mta-sts.example.com.example.com.