Enregistrements MX : comment un e-mail trouve son chemin

Lorsque quelqu'un envoie un e-mail à name@example.com, le serveur de messagerie expéditeur ne se contente pas de chercher l'enregistrement A habituel de example.com. Il interroge un type d'enregistrement complètement différent : MX, abréviation de Mail Exchange. L'enregistrement MX pointe vers le nom d'hôte du serveur chargé d'accepter le courrier de ce domaine, qui se trouve très souvent à une tout autre adresse que celle où vit le site web lui-même.

La priorité : ce qui surprend les gens

Un domaine peut avoir plusieurs enregistrements MX, chacun avec une valeur de priorité numérique. Les nombres les plus bas sont préférés. Un serveur expéditeur essaie d'abord le serveur de messagerie à la priorité la plus basse (le plus privilégié), et ne se rabat sur les valeurs plus élevées que si celui-ci est injoignable. C'est ce qui rend possible une livraison du courrier redondante : un serveur de messagerie de secours, placé à une valeur de priorité plus élevée, prêt à accepter le courrier si le principal est hors service.

• La cible d'un enregistrement MX doit elle-même se résoudre vers un enregistrement A ou AAAA : elle ne peut pas pointer directement vers une adresse IP.
• Un domaine sans aucun enregistrement MX ne peut généralement pas recevoir d'e-mails, même si son site web fonctionne très bien : les deux sont gérés par des recherches DNS entièrement distinctes.
• Deux enregistrements MX de priorité identique sont tous deux valides simultanément : le serveur expéditeur est libre de choisir l'un ou l'autre, ce qui est parfois utilisé délibérément comme une forme rudimentaire de répartition de charge.

Pourquoi cela compte au-delà du simple « le courrier marche ou non »

Les enregistrements MX sont aussi le point de départ pour vérifier la configuration de messagerie plus large d'un domaine : les enregistrements SPF, DKIM et DMARC existent tous pour prouver que le courrier prétendant venir d'un domaine y est bien autorisé, et contrôler la configuration MX est généralement la première étape avant de vérifier ceux-ci. Une migration vers un nouveau fournisseur de messagerie est, au fond, une modification DNS de l'enregistrement MX (plus des enregistrements associés), ce qui implique qu'elle hérite de toutes les réserves de délai de propagation qui s'appliquent à toute autre mise à jour DNS.

Un domaine qui n'envoie volontairement aucun e-mail

Tous les domaines ne veulent pas recevoir de courrier, et laisser cela indéfini est en soi une petite faille de sécurité : sans signal explicite, certains systèmes de messagerie tentent tout de même la livraison ou font des hypothèses sur une configuration manquante. La RFC 7505 définit un « null MX » précisément pour cela : un unique enregistrement MX pointant vers « . » (la racine, c'est-à-dire nulle part) avec la priorité 0, qui déclare explicitement « ce domaine n'accepte aucun courrier, inutile d'essayer ». C'est un ajout simple et peu coûteux, à prévoir sur tout domaine (un domaine de redirection marketing, un domaine de service interne) qui n'enverra ni ne recevra jamais d'e-mails.

L'erreur courante à éviter

Une erreur de configuration étonnamment fréquente consiste à faire pointer un enregistrement MX directement vers une adresse IP, ou vers un nom d'hôte qui n'a lui-même qu'un CNAME plutôt qu'un vrai enregistrement A/AAAA. Les deux violent les règles propres au type d'enregistrement, et les systèmes de messagerie qui suivent strictement la spécification refuseront toute livraison plutôt que de deviner ce qui était voulu. Si le site web d'un domaine fonctionne parfaitement mais que la livraison du courrier échoue complètement plutôt que simplement lentement, vérifier que chaque cible MX se résout bien vers un simple enregistrement A ou AAAA (pas un CNAME, pas une IP brute saisie par erreur) fait partie des premières vérifications, et des moins coûteuses.