Capítulo 02 Rede, DNS & criptografia Admin: #pTls

Entregabilidade DNS 10/10, DNS reverso (FCrDNS) & armadilhas do DNS curinga

Grandes receptores como Gmail, Microsoft 365 e Deutsche Telekom avaliam a reputação do remetente fortemente com base no alinhamento de DNS. Em TLS & DNS Advisor (#pTls), o nextxch gera registros prontos para copiar para cada domínio hospedado e os valida ao vivo no DNS público.

Dica operacional & nota de arquitetura

Cuidado com DNS curinga (*.company.com -> IP do servidor web): um registro curinga direciona silenciosamente subdomínios não configurados, como autodiscover.company.com, para o seu host web em vez do seu servidor de e-mail! Sempre crie registros CNAME ou A/AAAA explícitos para mail, autodiscover e autoconfig.

Exemplo de registros de zona DNS (BIND / RFC 1035)

Exporte a zona exata do seu domínio a qualquer momento via 'nextxch-cli dns company.com --bind' ou em #pTls no Admin Cockpit.

Referência / configuração

mail                  3600 IN A     198.51.100.10
mail                  3600 IN AAAA  2001:db8::10
@                     3600 IN MX 10 mail.firma.de.
@                     3600 IN TXT   "v=spf1 mx ip4:198.51.100.10 ip6:2001:db8::10 -all"
s2026._domainkey      3600 IN TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."
ed2026._domainkey     3600 IN TXT   "v=DKIM1; k=ed25519; p=11qYAYKxCrfVS..."
_dmarc                3600 IN TXT   "v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:dmarc@firma.de"
autodiscover          3600 IN CNAME mail.firma.de.
autoconfig            3600 IN CNAME mail.firma.de.
_imaps._tcp           3600 IN SRV   0 1 993 mail.firma.de.
_submission._tcp      3600 IN SRV   0 1 465 mail.firma.de.
_caldavs._tcp         3600 IN SRV   0 1 443 mail.firma.de.
_carddavs._tcp        3600 IN SRV   0 1 443 mail.firma.de.

Configurações, valores padrão e boas práticas

Configuração / local	Descrição	Valor padrão	Boa prática para produção
`Reverse-DNS (PTR) & FCrDNS`	Mapeia o endereço IPv4 (e IPv6) público do seu servidor de volta para o ServerHostName no seu ISP/provedor de hospedagem (Forward-Confirmed Reverse DNS).	`Beim Hoster zu setzen / ISP panel`	Configure o PTR na Hetzner/IONOS/Netcup/AWS para corresponder 1:1 ao ServerHostName. Registros PTR ausentes ou genéricos causam rejeições 550 imediatas em ISPs rigorosos.
`SPF TXT (v=spf1)`	Declara quais endereços IPv4/IPv6 e hosts MX estão autorizados a enviar e-mail em nome do seu domínio (RFC 7208).	`v=spf1 mx a -all`	Inclua os IPs de envio explícitos (v=spf1 mx ip4:... ip6:... -all), fique bem abaixo do limite de 10 lookups da RFC e imponha -all quando todos os remetentes estiverem listados.
`Dual-DKIM (RSA-2048 + Ed25519)`	Dois pares de chaves DKIM paralelos por domínio (por exemplo, s2026 para RSA-2048 e ed2026 para Ed25519) selando criptograficamente os cabeçalhos de saída e os hashes do corpo.	`Beide Keys automatisch erzeugt (s2026 + ed2026)`	Publique os dois registros DNS TXT (s2026._domainkey & ed2026._domainkey) uma única vez no DNS e depois alterne instantaneamente no servidor entre RSA-2048, Ed25519 ou assinatura dupla conforme RFC 8463.
`DMARC (_dmarc.<domain>)`	Vincula o alinhamento SPF/DKIM ao cabeçalho From visível e instrui os receptores sobre como tratar spoofing, enviando relatórios XML agregados de volta para o /admin/.	`v=DMARC1; p=quarantine; ...`	Comece com p=quarantine e rua=mailto:dmarc@company.com por 2 semanas, analise o analisador DMARC integrado e depois passe para p=reject.
`Autodiscover, Autoconfig & DNS-SRV`	Permite a descoberta automática do servidor no Outlook, Apple Mail, Thunderbird e clientes móveis usando apenas o endereço de e-mail do usuário.	`Auf Port 443 integriert`	Crie CNAMEs explícitos para autodiscover & autoconfig apontando para mail.<domain>, além de registros SRV (_imaps, _submission, _caldavs, _carddavs).