Что такое MX-записи: как устроена маршрутизация почты

Когда кто-то отправляет сообщение на you@example.com, его почтовому серверу прежде всего нужно ответить на один вопрос: какая машина принимает почту для example.com? Ответ даёт запись MX.

MX означает Mail Exchange (почтовый обменник). Без неё почта на ваш домен возвращается с ошибкой, даже если сайт работает прекрасно. Записи сайта и записи почты совершенно независимы.

Как выглядит MX-запись

example.com.    3600    IN    MX    1     aspmx.l.google.com.
example.com.    3600    IN    MX    5     alt1.aspmx.l.google.com.
example.com.    3600    IN    MX    5     alt2.aspmx.l.google.com.
example.com.    3600    IN    MX    10    alt3.aspmx.l.google.com.

Число перед именем хоста — это приоритет (его иногда называют предпочтением). Всё остальное — стандартная запись.

Как на самом деле работает приоритет

Отправляющий сервер сортирует ваши MX-записи по приоритету и пробует их по порядку. Если хост с наименьшим значением отказывает в соединении или не отвечает вовремя, он переходит к следующему. Это настоящее резервирование: почта продолжает идти, пока один сервер недоступен.

Записи с одинаковым приоритетом — две записи 5 выше — балансируются по нагрузке. Отправитель выбирает между ними случайно, распределяя объём на обе.

Правила, которым должны следовать цели MX

• Цель должна быть именем хоста, а не IP-адресом. MX 10 93.184.216.34 недопустимо; используйте MX 10 mail.example.com. с записью A на это имя.
• Цель не должна быть CNAME. Спецификация требует, чтобы цели MX разрешались непосредственно в адресные записи. Некоторые почтовые серверы иначе отказывают в доставке. См. CNAME и A.
• У цели должна быть собственная запись A или AAAA. MX, указывающая на неразрешаемое имя, равносильна полному отсутствию MX.

Null MX: объявляем, что домен не принимает почту

Если домен никогда не будет получать почту, скажите об этом явно одной MX-записью, указывающей на корневую зону:

example.com.    3600    IN    MX    0    .

Одинокая . в качестве цели означает, что этот домен не принимает почту. Отправители сразу отклоняют письмо с постоянной ошибкой вместо того, чтобы повторять попытки несколько дней, а домен становится менее привлекательной целью для подделки. Стоит задать это для каждого вашего домена, не используемого для почты.

Что происходит, если MX-записи нет

Исторически сложилось так, что отправители пробуют запись A домена и пытаются доставить почту туда. Полагаться на это плохо: поведение у разных почтовых серверов различается, а если ваша запись A указывает на веб-сервер или CDN без почтового демона, письма возвращаются с ошибкой.

MX-записи — это ещё не всё

MX решает, куда доставляется почта. Три другие записи решают, будет ли ей доверие, — и без них ваша законная почта попадает в папки спама:

• SPF — запись TXT, перечисляющая серверы, которым разрешено отправлять почту от имени вашего домена.
• DKIM — запись TXT, публикующая ключ, которым подписывается ваша исходящая почта.
• DMARC — запись TXT, сообщающая получателям, что делать, если SPF или DKIM не прошли.

Все три рассмотрены в статье SPF, DKIM и DMARC простыми словами. Четвёртый фактор, обратный DNS, важен для серверов, отправляющих почту напрямую.

Сбои, которые теряют почту, и как их заметить

Ошибки конфигурации MX редко заявляют о себе. Почта не прекращается: она редеет, приходит с опозданием, или жалуется один отправитель, а все остальные в порядке. Вот шаблоны, которые стоит распознавать.

Записи указывают на провайдера, которым вы больше не пользуетесь

Самая частая причина таинственно пропадающей почты. После миграции MX-записи старого провайдера остаются рядом с новыми, отправители распределяют письма между ними по приоритету, и часть сообщений попадает в ящик, который никто не читает. Симптом: почта от одних отправителей приходит, от других пропадает, без уведомления об ошибке.

У цели MX нет адресной записи

MX, указывающая на mail.example.com, когда это имя не разрешается, функционально равносильна отсутствию MX. Отправители либо сразу возвращают письмо с ошибкой, либо ставят в очередь и повторяют попытки несколько дней, прежде чем сдаться. Всегда проверяйте, что цель разрешается, а не только то, что MX-запись существует.

Файрвол блокирует порт 25

Идеальный DNS, недоступный сервер. Входящий SMTP приходит на порт 25, а облачные провайдеры обычно блокируют его по умолчанию на новых экземплярах. MX-запрос успешен, соединение так и не устанавливается, и отправители молча копят очередь.

Проверка ваших MX-записей

dig +short example.com MX

Инструмент поиска возвращает MX-записи уже отсортированными по приоритету, а null MX показывает явно, а не в виде сбивающего с толку пустого значения, — так с одного взгляда легко убедиться, что ваш основной сервер именно тот, который вы ожидаете.