Jeśli znasz rozdział o rodzajach rekordów DNS, wiesz, że każdy rekord w strefie DNS ma konkretne zadanie. Rekordy A wskazują adresy IP. Rekordy MX obsługują kierowanie poczty. Rekord TXT nie robi ani jednego, ani drugiego. Zawiera linijkę zwykłego tekstu, która mówi innym systemom coś o Twojej domenie. Ten tekst może głosić „ten dostawca poczty może wysyłać w moim imieniu”, „tak, jestem właścicielem tej domeny” albo „oto klucz do weryfikacji moich wiadomości”.
Wyobraź sobie karteczkę przypiętą do drzwi wejściowych. Nie zmienia tego, jak działa dom. Ale każdy, kto podejdzie i ją przeczyta, dowie się czegoś ważnego o tym, kto tam mieszka i co zostało dozwolone.
Jak wygląda rekord TXT?
Rekord TXT ma cztery części, tak jak inne rekordy DNS. Oto, do czego służy każda z nich.
- Nazwa hosta (name) to domena lub subdomena, której dotyczy rekord. Dla domeny głównej jest to zwykle „@” lub puste pole. Dla subdomeny takiej jak mail.twojadomena.com nazwą hosta byłoby „mail”
- Typ informuje system DNS, że to rekord TXT
- Wartość to sama treść tekstowa. Może to być kod weryfikacyjny, zasada dotycząca poczty, klucz publiczny albo inny ciąg do 255 znaków na segment
- TTL (time to live) określa, jak długo serwery DNS trzymają ten rekord w pamięci podręcznej, zanim sprawdzą aktualizacje. Domyślnie to zwykle 3600 sekund, czyli godzina
Oto jak prosty rekord TXT wygląda w panelu ustawień DNS.
- Nazwa hosta ustawiona na @
- Typ ustawiony na TXT
- Wartość ustawiona na „v=spf1 include:_spf.example.com ~all”
- TTL ustawiony na 3600
Ten przykład to rekord SPF, jeden z najczęstszych typów rekordu TXT. Poniższe sekcje wyjaśniają, co oznacza SPF i jak działają inne rekordy zabezpieczające pocztę.
Jak rekord TXT służy do weryfikacji domeny?
To najprostsze zastosowanie rekordu TXT. Usługa potrzebuje dowodu, że domena należy do Ciebie. Dowodzisz tego, dodając rekord, który mógłby dodać tylko właściciel domeny.
Oto jak przebiega ten proces.
- Zakładasz konto w usłudze i podajesz nazwę domeny
- Usługa daje Ci unikalny kod weryfikacyjny
- Logujesz się do ustawień DNS i dodajesz rekord TXT z tym kodem jako wartością
- Usługa sprawdza w DNS, czy rekord TXT istnieje
- Jeśli znajdzie kod, weryfikacja jest zakończona
Dlaczego to działa? Bo tylko osoba z dostępem do ustawień DNS może tam dodawać rekordy. Sam kod weryfikacyjny nic nie znaczy. Dowodzi tylko, że masz klucze do strefy DNS.
Co to jest rekord SPF?
Co oznacza SPF
SPF to skrót od Sender Policy Framework. To rekord TXT, który wymienia serwery poczty uprawnione do wysyłania e-maili z użyciem Twojej nazwy domeny. Gdy ktoś odbiera od Ciebie e-mail, jego serwer poczty sprawdza rekord SPF, by zobaczyć, czy serwer wysyłający jest na liście zatwierdzonych.
Co robi rekord SPF
Bez rekordu SPF każdy może wysłać e-mail, który wygląda, jakby pochodził z Twojej domeny. Nazywa się to spoofingiem poczty. To jedna z najstarszych sztuczek phishingu i działa, bo serwer odbierający nie ma jak sprawdzić, czy nadawca jest tym, za kogo się podaje.
Rekord SPF to naprawia. To jak przekazanie poczcie listy kurierów, którzy mogą nadawać paczki w Twoim imieniu. Jeśli paczka przychodzi od kuriera spoza listy, poczta wie, że coś jest nie tak.
Oto przykład.
v=spf1 include:_spf.mailprovider.com ~all
To mówi trzy rzeczy.
- v=spf1 wskazuje, że to rekord SPF
- include:_spf.mailprovider.com oznacza „serwery wymienione przez tego dostawcę poczty mogą wysyłać e-maile dla mojej domeny”
- ~all oznacza „jeśli e-mail pochodzi z innego serwera, traktuj go jako podejrzany, ale nie odrzucaj od razu”
Gdyby „~all” zmienić na „-all”, reguła byłaby surowsza. Kazałaby serwerom odbierającym całkowicie odrzucać wszystko, czego nie ma na zatwierdzonej liście.
Co to jest rekord DKIM?
Co oznacza DKIM
DKIM to skrót od DomainKeys Identified Mail. Podczas gdy SPF sprawdza, kto wysłał e-mail, DKIM sprawdza, czy wiadomość nie została zmieniona w drodze do skrzynki.
Jak działa klucz publiczny
Wyobraź sobie DKIM jak lakową pieczęć na liście. Gdy Twój serwer poczty wysyła e-mail, opatruje go ukrytym podpisem. Ten podpis powstaje za pomocą klucza prywatnego, który zna tylko Twój serwer. Pasujący klucz publiczny znajduje się w rekordzie TXT domeny, widoczny dla każdego, kto sprawdzi.
Gdy serwer odbierający dostaje e-mail, odczytuje Twój klucz publiczny z DNS i porównuje go z podpisem. Jeśli pasują, e-mail jest zweryfikowany jako autentyczny i nienaruszony. Jeśli nie pasują, wiadomość mogła zostać zmieniona gdzieś po drodze.
Nie musisz rozumieć samego klucza. Dostawca poczty go generuje i mówi dokładnie, co wkleić w ustawieniach DNS. Rekord TXT DKIM zwykle znajduje się na subdomenie wyglądającej jak „selector._domainkey.twojadomena.com”.
Co to jest rekord DMARC?
Jak DMARC łączy SPF i DKIM
SPF sprawdza, skąd pochodzi e-mail. DKIM sprawdza, czy nie został zmieniony. Ale co się dzieje, gdy jedna z tych kontroli się nie powiedzie? Bez DMARC każdy serwer odbierający decyduje sam. Niektóre wyślą e-mail do spamu. Niektóre go przepuszczą. Niektóre odrzucą. Nie masz żadnej kontroli.
DMARC to skrót od Domain-based Message Authentication, Reporting, and Conformance. To rekord TXT, który oddaje Ci stery. Ustalasz zasady tego, co ma się stać z e-mailem, który nie przejdzie SPF lub DKIM.
Co oznaczają polityki DMARC
Rekord DMARC dodaje się jako rekord TXT na subdomenie „_dmarc.twojadomena.com”. Oto prosty przykład.
v=DMARC1; p=quarantine; rua=mailto:reports@twojadomena.com
To mówi serwerom odbierającym trzy rzeczy.
- v=DMARC1 wskazuje, że to rekord DMARC
- p=quarantine to polityka. Każe serwerowi odbierającemu wysyłać e-maile, które nie przeszły uwierzytelnienia, do folderu spamu zamiast do skrzynki odbiorczej
- rua=mailto:reports@twojadomena.com każe serwerom wysyłać raporty uwierzytelniania na ten adres e-mail, by można było zobaczyć, kto wysyła pocztę z użyciem Twojej domeny
Pole polityki (p=) ma trzy opcje.
- none oznacza brak działania, tylko wysyłanie raportów. To przydatne na początku konfiguracji DMARC, gdy chcesz obserwować, zanim zaczniesz egzekwować zasady
- quarantine oznacza wysyłanie niezgodnych e-maili do spamu
- reject oznacza całkowite blokowanie niezgodnych e-maili, tak by nigdy nie dotarły do odbiorcy
Razem SPF, DKIM i DMARC tworzą trzy warstwy ochrony poczty. SPF to lista gości. DKIM to lakowa pieczęć. DMARC to ochroniarz, który decyduje, co się dzieje, gdy ktoś nie przejdzie dwóch pierwszych kontroli. Jeśli konfigurujesz własną pocztę w swojej domenie, wszystkie trzy rekordy są ważne.
Do czego jeszcze służą rekordy TXT?
Bezpieczeństwo poczty i weryfikacja domeny to dwa największe zastosowania, ale rekordy TXT pojawiają się też w innych miejscach.
- Weryfikacja w wyszukiwarkach. Wyszukiwarki proszą o dodanie rekordu TXT, by potwierdzić własność domeny, zanim udostępnią dane o skuteczności w wyszukiwaniu
- Polityki bezpieczeństwa. Niektóre organizacje używają rekordów TXT do publikowania danych kontaktowych w sprawach bezpieczeństwa lub preferencji dotyczących urzędów certyfikacji
- Uwierzytelnianie usług. Platformy analityczne, usługi reklamowe i inne narzędzia często wymagają rekordu TXT, by połączyć domenę z kontem
- Własne metadane. W rekordzie TXT można przechowywać każdą tekstową informację o domenie, którą mają odczytać inne serwery lub usługi
Rekordy TXT to szwajcarski scyzoryk DNS. Jeśli usługa musi zweryfikować, uwierzytelnić lub przekazać coś o Twojej domenie, najpewniej robi to przez rekord TXT.
Jak dodać rekord TXT?
Dodawanie rekordu TXT przebiega tak samo jak dodawanie każdego innego rekordu DNS. Jeśli dodawano już rekord A lub MX, będzie to znajome.
- Zaloguj się do panelu zarządzania DNS, w którym ustawione są serwery nazw domeny. Zwykle to rejestrator domeny lub dostawca hostingu
- Znajdź sekcję rekordów DNS lub edytor strefy DNS
- Kliknij opcję dodania nowego rekordu
- Wybierz TXT jako typ rekordu
- Wpisz nazwę hosta. Użyj „@” dla domeny głównej albo nazwy konkretnej subdomeny, jeśli wymaga tego usługa
- Wklej dokładną wartość podaną przez usługę, którą konfigurujesz. Nie przepisuj jej ręcznie
- Ustaw TTL. Jeśli nie masz pewności, użyj wartości domyślnej sugerowanej przez dostawcę albo ustaw 3600
- Zapisz rekord
Jedna rzecz do zapamiętania. Zmiany DNS mogą rozchodzić się po internecie od kilku minut do 48 godzin. Nazywa się to propagacją DNS. W tym czasie część serwerów może nadal widzieć stare ustawienia, a inne nowe. Więcej szczegółów o tym procesie znajdziesz w rozdziale o tym, jak działa DNS.
Jakie są częste błędy w rekordach TXT?
Rekordy TXT łatwo dodać, ale kilka powtarzających się błędów wprowadza ludzi w kłopoty.
- Wklejenie złej wartości. Wartości rekordów TXT to często długie ciągi losowych znaków. Pomyłka o jeden znak lub dodatkowa spacja psuje całość. Zawsze kopiuj i wklejaj bezpośrednio z usługi, która podała wartość
- Kilka rekordów SPF w tej samej domenie. Można mieć tylko jeden rekord SPF na domenę. Jeśli musisz uprawnić kilku dostawców poczty, połącz ich w jednym rekordzie SPF za pomocą kilku instrukcji „include”. Dwa osobne rekordy SPF powodują nieprzewidywalne zachowanie i błędy dostarczania poczty
- Dodanie rekordu do złej nazwy hosta. Niektóre rekordy TXT trafiają na domenę główną (@), inne na konkretną subdomenę, taką jak „_dmarc” lub „selector._domainkey”. Jeśli umieścisz rekord w złym miejscu, usługa, która go szuka, go nie znajdzie
- Zapomnienie o zapisaniu. To brzmi podstawowo, ale wiele paneli DNS wymaga kliknięcia przycisku zapisu lub potwierdzenia po wpisaniu rekordu. Jeśli zamkniesz stronę przed zapisaniem, rekord nie zostanie utworzony
- Brak czekania na propagację. Po dodaniu rekordu TXT usługa weryfikująca może nie znaleźć go od razu. Odczekaj co najmniej 15 do 30 minut, zanim ponowisz sprawdzenie
Co się dzieje, gdy rekordy TXT są błędne lub ich brakuje?
Skutki zależą od tego, którego rekordu TXT to dotyczy.
- Jeśli rekord SPF jest brakujący lub niepoprawny, e-maile częściej trafiają do spamu. Serwery odbierające nie mają jak potwierdzić, że Twój serwer poczty jest uprawniony, więc wybierają ostrożność
- Jeśli brakuje rekordu DKIM, e-maile nie mają weryfikowalnego podpisu. Niektórzy odbiorcy nadal je przyjmą, ale filtry spamu stają się bardziej podejrzliwe
- Jeśli brakuje rekordu DMARC, nie masz kontroli nad tym, co dzieje się z e-mailami, które nie przejdą kontroli SPF lub DKIM. Każdy serwer odbierający podejmuje własną decyzję
- Jeśli zostanie usunięty weryfikacyjny rekord TXT, usługa, która go wymagała, może cofnąć dostęp albo pokazać ostrzeżenie, że własność domeny nie jest już potwierdzona
Żaden z tych problemów nie wyłączy strony. Rekordy TXT nie wpływają na to, jak strona się wczytuje ani jak docierają do niej odwiedzający. Ale brakujące lub błędne rekordy TXT mogą zaszkodzić dostarczalności poczty i możliwości korzystania z usług powiązanych z domeną.
Jak WEMASY obsługuje rekordy TXT
Gdy podłączasz własną domenę do strony w WEMASY, WEMASY prowadzi Cię przez rekordy DNS do dodania. Jeśli weryfikujesz domenę w narzędziach wyszukiwarki, WEMASY mówi dokładnie, które rekordy TXT utworzyć, łącznie z nazwą hosta i wartością do wklejenia. Rekordy TXT dla poczty otrzymujesz od własnego dostawcy poczty e-mail, ponieważ hosting poczty e-mail w WEMASY będzie dostępny wkrótce.
WEMASY zajmuje się SSL i hostingiem po swojej stronie, więc rekordy TXT, które dodajesz, dotyczą weryfikacji i bezpieczeństwa poczty, a nie kierowania ruchu. Gdy rekordy są na miejscu, a DNS się rozpropagował, wszystko łączy się automatycznie. Zobacz, co zawiera każdy pakiet, na stronie cennika WEMASY.
Co dalej
Skoro wiesz już, jak rekordy TXT działają przy weryfikacji i bezpieczeństwie poczty, następny rozdział omawia rekordy NS. Rekordy NS decydują, które serwery nazw odpowiadają za całą strefę DNS domeny, i stanowią fundament tego, jak znajdowane są wszystkie inne rekordy. Przegląd wszystkich typów rekordów i wskazówki, kiedy użyć każdego, znajdziesz w rozdziale o rodzajach rekordów DNS.
Najczęstsze pytania
Czy jedna domena może mieć kilka rekordów TXT?
Tak. Domena może mieć wiele rekordów TXT jednocześnie. Możesz mieć jeden dla SPF, jeden do weryfikacji domeny i jeden dla DKIM na subdomenie. Jedynym wyjątkiem jest SPF. Powinien być tylko jeden rekord SPF na domenę. Jeśli musisz uprawnić kilku dostawców poczty, połącz ich w jednym rekordzie SPF. W kreatorze stron WEMASY możesz to ustawić bezpośrednio na swojej stronie.
Czy rekord TXT wpływa na szybkość wczytywania strony?
Nie. Rekordy TXT nie odgrywają żadnej roli w kierowaniu ruchu na stronę. Czytają je tylko usługi, które ich szukają, jak serwery poczty sprawdzające SPF czy narzędzia weryfikujące własność. Szybkość strony zależy od rekordu A, serwera i konfiguracji hostingu, a nie od rekordów TXT.
Jak długo rekord TXT zaczyna działać?
To zależy od propagacji DNS i TTL poprzednich rekordów. W większości przypadków nowy rekord TXT jest widoczny w ciągu 15 do 30 minut. Pełna propagacja na wszystkich serwerach DNS na świecie może potrwać do 48 godzin, choć w przypadku nowych rekordów, które wcześniej nie istniały, zdarza się to rzadko.
Jaka jest maksymalna długość wartości rekordu TXT?
Pojedynczy ciąg rekordu TXT może mieć do 255 znaków. Jeśli wartość musi być dłuższa, dzieli się ją na kilka ciągów w tym samym rekordzie. Dostawca DNS zwykle robi to automatycznie. Usługi generujące długie wartości TXT, jak klucze DKIM, uwzględniają ten limit, gdy tworzą rekord dla Ciebie.
Czy potrzebne są rekordy TXT, jeśli nie wysyłam poczty z domeny?
Nadal to dobry pomysł. Nawet jeśli nie wysyłasz poczty, dodanie rekordu SPF, który mówi, że żadne serwery nie są uprawnione (v=spf1 -all), uniemożliwia spamerom podszywanie się pod Twoją domenę. Bez żadnych rekordów uwierzytelniania poczty każdy może wysyłać e-maile, które wyglądają, jakby pochodziły z Twojej domeny, co może zaszkodzić reputacji.