Record MX spiegati: come la posta trova la sua strada

Quando qualcuno invia un'email a name@example.com, il mail server mittente non si limita a cercare il normale record A di example.com. Interroga un tipo di record completamente diverso: MX, abbreviazione di Mail Exchange. Il record MX punta all'hostname del server incaricato di accettare la posta per quel dominio, che molto spesso è un indirizzo del tutto diverso da quello su cui risiede il sito web.

La priorità: la parte che sorprende le persone

Un dominio può avere più record MX, ciascuno con un valore di priorità numerico. I numeri più bassi sono preferiti. Un server mittente prova per primo il mail server con la priorità più bassa (il più preferito) e ripiega sui valori di priorità più alti solo se quello non è raggiungibile. È questo a rendere possibile una consegna della posta ridondante: un mail server di backup con un valore di priorità più alto, pronto ad accettare la posta se quello principale è fuori servizio.

• La destinazione di un record MX deve a sua volta risolversi in un record A o AAAA: non può puntare direttamente a un indirizzo IP.
• Un dominio senza alcun record MX di solito non può ricevere posta, anche se il suo sito web funziona benissimo: le due cose sono gestite da lookup DNS del tutto separati.
• Due record MX con lo stesso identico valore di priorità sono entrambi validi contemporaneamente: il server mittente è libero di sceglierne uno qualsiasi, cosa che a volte si usa di proposito come forma rudimentale di bilanciamento del carico.

Perché conta oltre il semplice «la posta funziona o non funziona»

I record MX sono anche il punto di partenza per verificare la configurazione email complessiva di un dominio: i record SPF, DKIM e DMARC esistono tutti per dimostrare che la posta che dichiara di provenire da un dominio è davvero autorizzata a farlo, e controllare la configurazione MX è di solito il primo passo prima di verificare quelli. Una migrazione a un nuovo provider di posta è, in sostanza, una modifica DNS del record MX (più i record di supporto), il che significa che eredita tutte le avvertenze sui ritardi di propagazione che valgono per qualsiasi altro aggiornamento DNS.

Un dominio che di proposito non invia posta

Non tutti i domini vogliono ricevere posta, e lasciare la cosa indefinita è già di per sé una piccola falla di sicurezza: senza un segnale esplicito, alcuni sistemi di posta tenteranno comunque la consegna o faranno ipotesi su una configurazione mancante. L'RFC 7505 definisce un «null MX» proprio per questo: un singolo record MX che punta a «.» (la radice, cioè da nessuna parte) con priorità 0, che dichiara esplicitamente «questo dominio non accetta posta, non provarci nemmeno». È un'aggiunta piccola e facile, che vale la pena impostare su qualsiasi dominio (un dominio di redirect di marketing, un dominio di servizio solo interno) che davvero non invierà né riceverà mai email.

L'errore comune da evitare

Una configurazione errata sorprendentemente frequente è puntare un record MX direttamente a un indirizzo IP, o a un hostname che a sua volta ha solo un CNAME e non un vero record A/AAAA. Entrambe le cose violano le regole stesse del tipo di record, e i sistemi di posta che seguono rigorosamente la specifica rifiutano del tutto di consegnare invece di tirare a indovinare cosa si intendesse. Se il sito web di un dominio funziona perfettamente ma la consegna della posta fallisce del tutto e non soltanto con lentezza, verificare che ogni destinazione MX si risolva davvero in un semplice record A o AAAA (non in un CNAME, non in un IP nudo digitato per errore) è una delle prime e più economiche verifiche da fare.