Send-only doména na mail serveru unese lokální doručení (obchází MX)

Situace

Firma má poštu domény u externího providera (MX míří k němu), ale chce z vlastního mail serveru (Mailcow/Postfix…) odesílat transakční e-maily pod touto doménou (např. noreply@example.com) s vlastním DKIM podpisem. Doména se proto přidá na vlastní server jako aktivní doména + mailbox pro SMTP submission.

Past

Mail server považuje aktivní doménu za lokální. Jakákoli zpráva, která tímto serverem projde s adresátem @firma.cz (jiná aplikace na témže serveru, jiný tenant, i odpověď generovaná lokálně), se doručí do lokální schránky — MX záznam se vůbec nekonzultuje. Skutečné schránky u externího providera zprávu nikdy nedostanou a odesílatel nedostane chybu: zpráva „úspěšně” leží ve schránce, do které se nikdo nedívá. Tichá ztráta pošty.

Řešení / prevence

1. Při přidávání send-only domény VŽDY zvážit, zda cokoliv na serveru může psát na adresy té domény. Pokud ano: buď doménu vést jako relay/backup-MX režim (server poštu předá dál dle MX), nebo založit aliasy přeposílající na skutečné externí schránky.
2. Odpovědi příjemců řešit Reply-To na adresu, která žije u skutečného MX providera — ne na send-only mailbox.
3. SPF domény musí spojit OBA světy: include: původního providera + IP vlastního serveru (pozor na IPv6 outbound). Zkontrolovat, že stávající SPF je vůbec validní — záznam bez v=spf1 prefixu je tiše ignorovaný.
4. Do runbooku domény zapsat, kde pošta skutečně žije a proč je doména na odesílacím serveru.

Kategorie

integrations / e-mail / DNS