Aparte authenticatie van een mailmigratie
De domeinwizard van Fastmail kan meer veranderen dan alleen uitgaande authenticatie. De websitevraag heeft invloed op de vraag of er alleen wordt aanbevolen om te veranderen MX records of bewegen naamservers. Voordat u begint, moet u beslissen of u inkomende e-mail migreert, DNS -beheer delegeert of alleen de authenticatie voor een reeds geconfigureerd domein herstelt. Inventariseer de website, bestaande mailboxen, aliassen en andere diensten die afhankelijk zijn van de zone.
Begin met de workflow voor het instellen van het domein in uw eigen Fastmail-account en bevestig de registrar die deze detecteert. De wizard biedt een snelle configuratie voor een eenvoudige regeling voor één gebruiker en individuele adresconfiguratie voor meerdere gebruikers of adressen. Bereid de beoogde ontvangersadressen voor voordat u inkomende e-mail naar de service stuurt. Authenticatie creëert geen ontbrekende mailboxen.
Kies bewust voor het DNS eigendomsmodel
De wizard documenteert dat het antwoord met Ja op het hebben van een website leidt tot instructies voor alleen MX; antwoorden Nee leidt tot naamserverinstructies. De instructies kunnen later in de wizard worden gewijzigd. Kies niet alleen voor Nee om een kortere installatie te krijgen als een bestaande website of andere DNS-afhankelijke dienst beschikbaar moet blijven.
Het wijzigen van naamservers draagt gezaghebbende DNS verantwoordelijkheid over. Voordat u deze wijziging doorvoert, bewaart u alle vereiste gegevens en regelt u een rollback met de domeineigenaar. Als u uw bestaande DNS host behoudt, publiceert u daar de vereiste e-mailverificatierecords. Een record ingevoerd in een controlepaneel dat niet gezaghebbend is, heeft geen invloed op ontvangende servers.
MX records routeren inkomende e-mail. Ze komen op zichzelf niet tot één lijn DKIM of autoriseer elke uitgaande afzender. Houd de acceptatie van inkomende leveringen van een migratie gescheiden van de authenticatiecontroles. Fastmail merkt op dat e-mail die zijn servers nooit bereikt, niet door Fastmail kan worden hersteld.
Publiceer de huidige DKIM -delegatieset
De handmatige DNS documentatie van Fastmail vereist alle drie de huidige CNAME records. De keuzeschakelaar labels zijn fm1. _domainkey , fm2. _domainkey en fm3. _domainkey . Hun doelen bevatten het daadwerkelijke domein van de klant en eindigen op dkim.fmhosted.com . Kopieer de exacte waarden uit uw domeininstructies in plaats van de letterlijke tijdelijke aanduiding in een documentatievoorbeeld te vervangen.
De oudere mesmtp-selector is expliciet gemarkeerd als verouderd voor oudere domeinen. Neem het niet over als de nieuwe configuratie, simpelweg omdat een oude tutorial of historische zone-export dit bevat. Omgekeerd mag u een verouderd record niet verwijderen zonder te controleren of de dienst er nog steeds van afhankelijk is. Publiceer de huidige set en verifieer de daadwerkelijke ondertekening voordat u het oude vertrouwen beëindigt.
Controleer hoe uw DNS editor omgaat met relatieve eigenaarsnamen en volledig gekwalificeerde doelen. Een target met een per ongeluk toegevoegde kopie van uw domein heeft een andere naam. Controleer of er bij elke eigenaar een bestaand record is voordat u een CNAME toevoegt, aangezien een conflicterend record een geldige delegatie kan verhinderen.
Stem SPF en DMARC af met bestaande afzenders
De aanbieder is gepubliceerd SPF bijvoorbeeld autoriseert spf.messagingengine.com . Gebruik de huidige accountinstructies en integreer de autorisatie indien nodig in één bestaand SPF beleid. Vervang niet blindelings een beleid dat door andere applicaties wordt gebruikt. SPF heeft DNS-opzoeklimieten en autorisatie moet overeenkomen met de daadwerkelijke envelopidentiteit in plaats van met aannames over het zichtbare adres.
De handleiding van Fastmail toont ook een monitoring DMARC beleid. Beschouw het als een voorbeeld en niet als een aanwijzing om een bestaand handhavingsbeleid te degraderen. Houd u aan het goedgekeurde beleid en de rapportageregelingen van het domein, tenzij een afzonderlijk beoordeelde wijziging gerechtvaardigd is. DMARC heeft een uitgelijnd succesvol SPF of DKIM pad nodig; een passerend SPF -resultaat voor een niet-gerelateerd domein is onvoldoende.
Test uitgaande en inkomende post zelfstandig
Stuur een gecontroleerd bericht vanaf het aangepaste domeinadres via de beoogde Fastmail-route. Behoud de originele headers en identificeer de zichtbare Van-, envelopdomein-, DKIM ondertekeningsdomein en -selector en vertrouwde ontvangerresultaten. Controleer of een passerende authenticatie-identiteit overeenkomt met de toepasselijke modus van het domein. Beschouw het bestaan van alle drie DNS records niet als bewijs dat een bepaald bericht correct is ondertekend.
Illustratief geval, geen gemeten Fastmail-resultaat: Van is person@example.com en een geldig DKIM -handtekening gebruikt d=example.com. Dit geeft exacte DKIM uitlijning. Een latere toepassing die vanaf hetzelfde zichtbare adres via een ander relais verzendt, heeft een eigen test nodig; het neemt het resultaat van de mailboxtest niet over.
Als inkomende e-mail is verplaatst, test u ook elk vereist adres en alias van een externe afzender. Houd deze resultaten gescheiden van de uitgaande authenticatierecord. De beschikbaarheid van websites heeft ook een eigen controle nodig na elke naamserververplaatsing.
Compleet met bewijs, geen groene veronderstelling
Wanneer de validatie mislukt, kunt u de gezaghebbende namen van de eigenaren opvragen en de waarden vergelijken voordat u op caches wacht. Controleer de route die door het testbericht wordt gebruikt en of een client via een andere SMTP service heeft verzonden. Bewaar eerdere gegevens en onderhoud een goedgekeurd herstelplan totdat de migratie is geaccepteerd. Dit is een documentairegids met een synthetisch voorbeeld; er is geen live DNS , mailboxmigratie of berichtbezorging uitgevoerd. Menselijke goedkeuring en productiebewijs zijn nog in behandeling.
Behandel een gedeeltelijke selectorset als een onvolledige configuratie
Schriftelijke casus FM-01 gaat ervan uit dat fm1 en fm2 correct zijn gepubliceerd op example.com , maar fm3 ontbreekt. Een hypothetisch bericht ondertekend met fm1 zou kunnen valideren terwijl de gedocumenteerde configuratie met drie records nog steeds onvolledig is. Het berichtresultaat bewijst geen toekomstige dekking van de selectorrotatie. Haal het daadwerkelijke derde doel op uit de domeininstructies en verifieer alle drie de eigenaren voordat u de configuratie sluit. Als een bestaande website beschikbaar moet blijven, behoud dan DNS afhankelijkheden en kies de ondersteunde route voor alleen records, tenzij een afzonderlijke migratie wordt goedgekeurd. In dit geval heeft er geen recordopzoeking, berichtverificatie of migratie plaatsgevonden.
Behoud de handhavingsgrens
RFC 9989 Sectie 7.4 vereist geldige DKIM , en niet alleen SPF , voor het publiceren van domeinen p=reject, en waarschuwt voor de interoperabiliteit van indirecte e-mail en mailinglijsten. Eén enkele succesvolle test met directe berichten is geen bewijs dat elke legitieme route klaar is voor krachtiger beleid. Behoud de bestaande goedgekeurde bescherming terwijl u de feitelijke kloof diagnosticeert; elke beleidsverandering heeft zijn eigen beslissing nodig.