Capítulo 02 Redes, DNS & criptografía Admin: #pTls

Entregabilidad DNS 10/10, DNS inverso (FCrDNS) & problemas con DNS comodín

Los grandes receptores como Gmail, Microsoft 365 y Deutsche Telekom evalúan la reputación del remitente en gran medida según la alineación del DNS. En TLS & DNS Advisor (#pTls), nextxch genera registros listos para copiar para cada dominio alojado y los valida en vivo contra el DNS público.

Consejo operativo y nota de arquitectura

Cuidado con el DNS comodín (*.company.com -> IP del servidor web): un registro comodín dirige silenciosamente subdominios no configurados como autodiscover.company.com a su host web en lugar de a su servidor de correo. Cree siempre registros CNAME o A/AAAA explícitos para mail, autodiscover y autoconfig.

Registros de zona DNS de ejemplo (BIND / RFC 1035)

Exporte en cualquier momento la zona exacta de su dominio mediante 'nextxch-cli dns company.com --bind' o desde #pTls en el Admin Cockpit.

Referencia / configuración

mail                  3600 IN A     198.51.100.10
mail                  3600 IN AAAA  2001:db8::10
@                     3600 IN MX 10 mail.firma.de.
@                     3600 IN TXT   "v=spf1 mx ip4:198.51.100.10 ip6:2001:db8::10 -all"
s2026._domainkey      3600 IN TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."
ed2026._domainkey     3600 IN TXT   "v=DKIM1; k=ed25519; p=11qYAYKxCrfVS..."
_dmarc                3600 IN TXT   "v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:dmarc@firma.de"
autodiscover          3600 IN CNAME mail.firma.de.
autoconfig            3600 IN CNAME mail.firma.de.
_imaps._tcp           3600 IN SRV   0 1 993 mail.firma.de.
_submission._tcp      3600 IN SRV   0 1 465 mail.firma.de.
_caldavs._tcp         3600 IN SRV   0 1 443 mail.firma.de.
_carddavs._tcp        3600 IN SRV   0 1 443 mail.firma.de.

Configuración, valores predeterminados y buenas prácticas

Ajuste / ubicación	Descripción	Valor predeterminado	Buena práctica de producción
`Reverse-DNS (PTR) & FCrDNS`	Asocia la dirección IPv4 (e IPv6) pública de su servidor a ServerHostName en su ISP o proveedor de alojamiento (Forward-Confirmed Reverse DNS).	`Beim Hoster zu setzen / ISP panel`	Configure el PTR en Hetzner/IONOS/Netcup/AWS para que coincida 1:1 con ServerHostName. Los registros PTR ausentes o genéricos provocan rechazos 550 inmediatos en los ISP estrictos.
`SPF TXT (v=spf1)`	Declara qué direcciones IPv4/IPv6 y hosts MX están autorizados a enviar correo en nombre de su dominio (RFC 7208).	`v=spf1 mx a -all`	Incluya las IP de envío explícitas (v=spf1 mx ip4:... ip6:... -all), manténgase muy por debajo del límite de 10 consultas del RFC y aplique -all en cuanto todos los remitentes estén incluidos.
`Dual-DKIM (RSA-2048 + Ed25519)`	Dos pares de claves DKIM paralelos por dominio (p. ej., s2026 para RSA-2048 y ed2026 para Ed25519) que sellan criptográficamente los encabezados salientes y los hashes del cuerpo.	`Beide Keys automatisch erzeugt (s2026 + ed2026)`	Publique una sola vez en el DNS los dos registros TXT (s2026._domainkey & ed2026._domainkey) y, después, cambie al instante en el servidor entre RSA-2048, Ed25519 o la firma doble según RFC 8463.
`DMARC (_dmarc.<domain>)`	Vincula la alineación SPF/DKIM al encabezado From visible e indica a los receptores cómo tratar la suplantación, devolviendo informes XML agregados a /admin/.	`v=DMARC1; p=quarantine; ...`	Empiece con p=quarantine y rua=mailto:dmarc@company.com durante 2 semanas, revise el analizador DMARC integrado y luego pase a p=reject.
`Autodiscover, Autoconfig & DNS-SRV`	Permite la detección automática del servidor sin intervención en Outlook, Apple Mail, Thunderbird y clientes móviles usando solo la dirección de correo del usuario.	`Auf Port 443 integriert`	Cree CNAME explícitos para autodiscover & autoconfig que apunten a mail.<domain>, además de registros SRV (_imaps, _submission, _caldavs, _carddavs).