Рекомендуемые записи DNS для TrekMail

MX, SPF, DKIM и DMARC обеспечивают основную работу почты. Для доменов, которые получают письма в TrekMail, панель также может показывать TLS-RPT и MTA-STS. Эти записи помогают контролировать и защищать зашифрованную доставку, но для начала работы с почтой они не обязательны.

Для кого эта инструкция

• Для администраторов, которые хотят получить наивысшую оценку безопасности.
• Для пользователей, у которых домен находится в состоянии «Активен с предупреждениями».

Рекомендуемые записи

Они находятся в разделе Доставляемость на вкладке DNS и состояние.

1. Отчёты TLS (TLS-RPT)

Хост: _smtp._tls

Значение: v=TLSRPTv1; rua=mailto:tlsrpt@trekmail.net

Эта запись сообщает другим почтовым системам, куда отправлять отчёты о проблемах с безопасным подключением к вашему домену. Если аккаунт использует почтовую зону под собственным брендом, скопируйте адрес для отчётов из панели.

2. MTA-STS: строгая защита передачи

Обычно MTA-STS требует веб-сервер для размещения файла политики. TrekMail делает это за вас с помощью записи CNAME. Для работы нужны две записи.

Идентификатор политики (TXT)

Хост: _mta-sts

Значение: Точно скопируйте значение v=STSv1; id=..., показанное в панели.

Оно сообщает другим почтовым системам о существовании политики и обозначает её текущую версию.

Хост политики (CNAME)

Хост: mta-sts

Значение: mta-sts.trekmail.net.

Поддомен mta-sts.yourdomain.com направляется на наши серверы, где мы автоматически публикуем обязательный файл политики HTTPS.

[!NOTE] Подготовка: Когда записи DNS станут видны, а домен будет активен, TrekMail сможет подготовить адрес MTA-STS. Текущее состояние показано в панели. Не рассчитывайте на строго определённый срок.

Состояния MTA-STS

После добавления записей TrekMail автоматически подготавливает сертификат MTA-STS. Возможны следующие состояния:

Частые ошибки и быстрые решения

• Проблема: Домен находится в состоянии «Активен с предупреждениями».
  • Причина: Отсутствует одна или несколько рекомендуемых записей.
  • Решение: Добавьте их, если вам нужна более строгая защита входящих подключений и отчёты об ошибках TLS. Для основной работы почты они не обязательны и напрямую не улучшают попадание во входящие.
• Проблема: MTA-STS показывает «Заблокирован DNS».
  • Причина: Отсутствует CNAME mta-sts.
  • Решение: Добавьте CNAME из панели: хост mta-sts, значение mta-sts.trekmail.net.
• Проблема: MTA-STS показывает «Заблокирован Cloudflare».
  • Причина: Cloudflare пропускает поддомен mta-sts через прокси, обозначенный оранжевым облаком.
  • Решение: В настройках DNS Cloudflare нажмите оранжевое облако у CNAME mta-sts и переключите его в режим «Только DNS» с серым облаком. Отключить прокси нужно лишь для этого поддомена; основной домен может продолжать его использовать.
• Проблема: MTA-STS показывает «Работает с ошибкой».
  • Причина: Адрес раньше работал, но перестал отвечать.
  • Решение: Убедитесь, что CNAME по-прежнему направлен на mta-sts.trekmail.net, прокси Cloudflare выключен для этого поддомена, а правила межсетевого экрана не блокируют доступ.
• Проблема: Конфликт CNAME для mta-sts.
  • Причина: Возможно, сохранилась старая запись CNAME или A для mta-sts.
  • Решение: Удалите прежнюю запись и замените её CNAME, направленным на mta-sts.trekmail.net.
• Проблема: Непонятно, как указывать хост TXT.
  • Совет: Проверьте, требует ли DNS-провайдер полное имя домена. Обычно достаточно _mta-sts. Если ввести _mta-sts.example.com, некоторые провайдеры могут создать _mta-sts.example.com.example.com.