DNS-записи

Коротко: Записи в DNS-зоні домену, що визначають, серед іншого, який сервер відповідає за домен (запис A), на яку адресу вказує псевдонім (CNAME) або які сервери можуть приймати електронну пошту (MX).

Докладніше: Важливі типи: A (домен → IP-адреса), CNAME (домен → інший домен), TXT (довільний текст, наприклад для підтвердження домену або SPF/DKIM), MX (відповідальність поштового сервера). Wildcard-запис (*.domain.com) покриває будь-яку кількість піддоменів одразу — у зовнішніх DNS-провайдерів (як OVH тут) це не вирішити окремими записами A/CNAME; для цього хостинг-провайдеру довелося б узяти на себе все керування серверами імен.

Наш контекст: Керується в OVH — зокрема записи TXT для підтвердження домену у Vercel, а також DKIM/SPF для Resend. Wildcard-запис знадобиться пізніше для запланованої мультитенантної моделі (піддомени для кожного клієнта).

Подробиці

SPF і DKIM докладно

SPF і DKIM (обидва налаштовуються записами TXT) — два різні, взаємодоповнювальні механізми, за допомогою яких отримувачі листів перевіряють, що лист справді прийшов із зазначеного домену й не підроблений:

• SPF (Sender Policy Framework) перелічує, яким поштовим серверам узагалі дозволено надсилати від імені домену — отримувач перевіряє, чи є сервер, що фактично надіслав лист, у цьому списку. Типовий запис SPF виглядає як v=spf1 include:_spf.resend.com ~all — include вказує на список серверів постачальника поштової служби, ~all позначає неперелічених відправників як «soft fail» (підозрілі, але не відхиляються одразу).
• DKIM (DomainKeys Identified Mail) криптографічно підписує кожен вихідний лист закритим ключем; отримувач перевіряє підпис за відкритим ключем, опублікованим як запис TXT, — підтверджуючи, що лист не був змінений дорогою. На відміну від SPF (який перевіряє лише ВІДПРАВНИЙ сервер), DKIM додатково забезпечує цілісність самого вмісту.

Третій, часто недооцінений механізм — DMARC (теж запис TXT), що визначає, що робити з листами, які не пройшли SPF і/або DKIM (відхилити, перемістити в спам або лише записати в журнал), — і за бажання вказує адресу для звітів про невдалі перевірки. Без запису DMARC кожен приймальний поштовий сервер сам вирішує на власний розсуд, що робити з проваленими перевірками SPF/DKIM.

Наслідки відсутності налаштування

Якщо обидва механізми налаштовані неправильно, вихідні листи в багатьох отримувачів (особливо Gmail, Outlook) автоматично потрапляють у спам або відхиляються повністю — поштові служби на кшталт Resend видають потрібні значення записів TXT у своїй панелі, які потім уводяться в вашого DNS-провайдера (тут OVH). Часта перешкода: зміни DNS поширюються глобальною системою DNS не одразу — залежно від TTL попереднього запису та кешування на різних резолверах це може тривати від хвилин до 48 годин, тому щойно налаштований поштовий домен не працює надійно відразу.

Порівняння типів записів

Окрім типів, згаданих у короткому розділі, є, серед іншого, AAAA (як A, але для адрес IPv6 замість IPv4), NS (визначає, які сервери імен узагалі авторитетні для домену, — «метарівень» над усіма іншими записами) і SRV (для служб, яким потрібна конкретна комбінація хоста І порту, наприклад деякі протоколи VoIP чи чату). У кожного типу запису свій TTL, який можна налаштовувати незалежно від інших записів того самого домену, — доцільно ставити його низьким незадовго до запланованої зміни, щоб вона набула чинності швидше.

Див. також: Мультитенантна архітектура, Resend, TTL, CNAME