Que sont les enregistrements MX ? Routage des e-mails

Lorsque quelqu'un envoie un message à you@example.com, son serveur de messagerie doit répondre à une question avant toute autre chose : quelle machine accepte le courrier de example.com ? L'enregistrement MX est la réponse.

MX signifie Mail Exchange. Sans lui, le courrier destiné à votre domaine est rejeté, même si le site web fonctionne parfaitement. Les enregistrements du site web et ceux du courrier sont totalement indépendants.

À quoi ressemble un enregistrement MX

example.com.    3600    IN    MX    1     aspmx.l.google.com.
example.com.    3600    IN    MX    5     alt1.aspmx.l.google.com.
example.com.    3600    IN    MX    5     alt2.aspmx.l.google.com.
example.com.    3600    IN    MX    10    alt3.aspmx.l.google.com.

Le nombre qui précède le nom d'hôte est la priorité (parfois appelée préférence). Tout le reste est un enregistrement standard.

Comment la priorité fonctionne vraiment

Un serveur expéditeur trie vos enregistrements MX par priorité et les essaie dans l'ordre. Si l'hôte à la priorité la plus basse refuse la connexion ou expire, il passe au suivant. C'est une vraie redondance : le courrier continue d'arriver pendant qu'un serveur est hors service.

Les enregistrements qui partagent la même priorité (les deux entrées 5 ci-dessus) sont répartis en charge. L'expéditeur choisit entre eux au hasard, ce qui répartit le volume sur les deux.

Les règles que doivent respecter les cibles MX

• La cible doit être un nom d'hôte, pas une adresse IP. MX 10 93.184.216.34 est invalide ; utilisez MX 10 mail.example.com. avec un enregistrement A sur ce nom.
• La cible ne doit pas être un CNAME. La spécification exige que les cibles MX se résolvent directement vers des enregistrements d'adresse. Certains serveurs de messagerie refusent sinon la livraison. Voir CNAME ou A.
• La cible a besoin de son propre enregistrement A ou AAAA. Un MX qui pointe vers un nom qui ne se résout pas équivaut à ne pas avoir de MX du tout.

Null MX : déclarer qu'un domaine n'envoie aucun courrier

Si un domaine ne recevra jamais d'e-mails, dites-le explicitement avec un unique enregistrement MX pointant vers la zone racine :

example.com.    3600    IN    MX    0    .

Un simple . comme cible signifie ce domaine n'accepte aucun courrier. Les expéditeurs rejettent immédiatement avec une erreur permanente au lieu de réessayer pendant des jours, et le domaine devient une cible moins attrayante pour l'usurpation. À définir sur chaque domaine que vous possédez et qui n'est pas utilisé pour la messagerie.

Ce qui se passe lorsqu'il n'y a pas d'enregistrement MX

Le repli historique veut que les expéditeurs essaient l'enregistrement A du domaine et tentent d'y livrer. S'appuyer là-dessus est une mauvaise idée : le comportement varie d'un serveur de messagerie à l'autre, et si votre enregistrement A pointe vers un serveur web ou un CDN sans démon de messagerie, les messages sont rejetés.

Les enregistrements MX ne font pas tout

MX décide où le courrier est livré. Trois autres enregistrements décident s'il est de confiance ; sans eux, votre courrier légitime atterrit dans les dossiers de spam :

• SPF : un enregistrement TXT qui liste les serveurs autorisés à envoyer au nom de votre domaine.
• DKIM : un enregistrement TXT qui publie la clé servant à signer votre courrier sortant.
• DMARC : un enregistrement TXT qui indique aux destinataires quoi faire lorsque SPF ou DKIM échoue.

Les trois sont traités dans SPF, DKIM et DMARC expliqués. Un quatrième facteur, le DNS inverse, compte pour les serveurs qui envoient du courrier directement.

Les défaillances qui font perdre du courrier, et comment les repérer

Une mauvaise configuration MX s'annonce rarement. Le courrier ne s'arrête pas : il se raréfie, ou arrive en retard, ou un expéditeur se plaint alors que tous les autres vont bien. Voici les schémas qu'il vaut la peine de reconnaître.

Des enregistrements qui pointent vers un fournisseur que vous n'utilisez plus

La cause la plus fréquente de courrier mystérieusement manquant. Une migration laisse les enregistrements MX de l'ancien fournisseur à côté des nouveaux : les expéditeurs répartissent alors les envois entre eux selon la priorité, et une fraction des messages atterrit dans une boîte aux lettres que personne ne lit. Symptôme : le courrier de certains expéditeurs arrive, celui d'autres disparaît, sans aucun rejet.

La cible MX n'a pas d'enregistrement d'adresse

Un MX qui pointe vers mail.example.com alors que ce nom ne se résout pas équivaut fonctionnellement à ne pas avoir de MX du tout. Les expéditeurs rejettent immédiatement, ou mettent en file d'attente et réessaient pendant des jours avant d'abandonner. Vérifiez toujours que la cible se résout, et pas seulement que l'enregistrement MX existe.

Un pare-feu qui bloque le port 25

Un DNS parfait, un serveur injoignable. Le SMTP entrant arrive sur le port 25, et les fournisseurs cloud le bloquent couramment par défaut sur les nouvelles instances. La recherche MX réussit, la connexion n'aboutit jamais, et les expéditeurs mettent en file d'attente en silence.

Vérifier vos enregistrements MX

dig +short example.com MX

L'outil de recherche renvoie les enregistrements MX déjà triés par priorité, avec un null MX affiché explicitement plutôt que sous la forme d'une valeur vide déroutante, ce qui permet de confirmer d'un coup d'œil que votre serveur principal est bien celui que vous attendez.