Chapitre 02 Réseau, DNS & cryptographie Admin : #pTls

Délivrabilité DNS 10/10, DNS inverse (FCrDNS) & pièges du DNS wildcard

Les grands destinataires comme Gmail, Microsoft 365 et Deutsche Telekom évaluent fortement la réputation de l'expéditeur selon l'alignement DNS. Sous Conseiller TLS & DNS (#pTls), nextxch génère des enregistrements prêts à copier pour chaque domaine hébergé et les valide en direct sur le DNS public.

Conseil d'exploitation & note d'architecture

Attention au DNS wildcard (*.company.com -> IP du serveur web) : un enregistrement wildcard redirige silencieusement les sous-domaines non configurés comme autodiscover.company.com vers votre hébergeur web au lieu de votre serveur de messagerie ! Créez toujours des enregistrements CNAME ou A/AAAA explicites pour mail, autodiscover et autoconfig.

Exemples d'enregistrements de zone DNS (BIND / RFC 1035)

Exportez à tout moment la zone exacte de votre domaine via 'nextxch-cli dns company.com --bind' ou depuis #pTls dans l'Admin Cockpit.

Référence / configuration

mail                  3600 IN A     198.51.100.10
mail                  3600 IN AAAA  2001:db8::10
@                     3600 IN MX 10 mail.firma.de.
@                     3600 IN TXT   "v=spf1 mx ip4:198.51.100.10 ip6:2001:db8::10 -all"
s2026._domainkey      3600 IN TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."
ed2026._domainkey     3600 IN TXT   "v=DKIM1; k=ed25519; p=11qYAYKxCrfVS..."
_dmarc                3600 IN TXT   "v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:dmarc@firma.de"
autodiscover          3600 IN CNAME mail.firma.de.
autoconfig            3600 IN CNAME mail.firma.de.
_imaps._tcp           3600 IN SRV   0 1 993 mail.firma.de.
_submission._tcp      3600 IN SRV   0 1 465 mail.firma.de.
_caldavs._tcp         3600 IN SRV   0 1 443 mail.firma.de.
_carddavs._tcp        3600 IN SRV   0 1 443 mail.firma.de.

Paramètres, valeurs par défaut & bonnes pratiques

Paramètre / emplacement	Description	Valeur par défaut	Bonne pratique en production
`Reverse-DNS (PTR) & FCrDNS`	Associe l'adresse IPv4 (et IPv6) publique de votre serveur à ServerHostName auprès de votre FAI/hébergeur (Forward-Confirmed Reverse DNS).	`Beim Hoster zu setzen / ISP panel`	Configurez le PTR chez Hetzner/IONOS/Netcup/AWS pour qu'il corresponde 1:1 à ServerHostName. Des enregistrements PTR absents ou génériques entraînent des rejets 550 immédiats chez les FAI stricts.
`SPF TXT (v=spf1)`	Déclare quelles adresses IPv4/IPv6 et quels hôtes MX sont autorisés à envoyer du courrier au nom de votre domaine (RFC 7208).	`v=spf1 mx a -all`	Incluez les IP d'envoi explicites (v=spf1 mx ip4:... ip6:... -all), restez bien en dessous de la limite RFC de 10 requêtes et imposez -all une fois tous les expéditeurs répertoriés.
`Dual-DKIM (RSA-2048 + Ed25519)`	Deux paires de clés DKIM parallèles par domaine (par ex. s2026 pour RSA-2048 et ed2026 pour Ed25519) scellant cryptographiquement les en-têtes sortants et les hachages du corps.	`Beide Keys automatisch erzeugt (s2026 + ed2026)`	Publiez une seule fois les deux enregistrements DNS TXT (s2026._domainkey & ed2026._domainkey), puis basculez instantanément sur le serveur entre RSA-2048, Ed25519 ou la double signature RFC 8463.
`DMARC (_dmarc.<domain>)`	Lie l'alignement SPF/DKIM à l'en-tête From visible et indique aux destinataires comment traiter l'usurpation, en renvoyant les rapports XML agrégés dans /admin/.	`v=DMARC1; p=quarantine; ...`	Commencez avec p=quarantine et rua=mailto:dmarc@company.com pendant 2 semaines, examinez l'analyseur DMARC intégré, puis passez à p=reject.
`Autodiscover, Autoconfig & DNS-SRV`	Permet la découverte automatique du serveur dans Outlook, Apple Mail, Thunderbird et les clients mobiles, à partir de la seule adresse e-mail de l'utilisateur.	`Auf Port 443 integriert`	Créez des CNAME explicites pour autodiscover & autoconfig pointant vers mail.<domain>, ainsi que des enregistrements SRV (_imaps, _submission, _caldavs, _carddavs).