CNAME in conflitto con i record MX e TXT: "CNAME and other data"

Cosa significa

Un record CNAME dice "questo nome è un alias di un altro nome". Le regole DNS (RFC 1034, confermata dalla RFC 2181) stabiliscono che se un nome ha un CNAME, non può avere nessun altro record: niente MX, niente TXT, niente A. Un nome è o un alias o un nome reale con i propri record, mai entrambe le cose.

Di solito te ne accorgi in uno di questi due modi:

• Il tuo provider DNS rifiuta di salvare il record, con un messaggio come "CNAME conflicts with existing records", "A CNAME record already exists for this name" o "CNAME and other data".
• Il tuo provider DNS lo accetta comunque (alcuni lo fanno) e poi i resolver restituiscono risposte incoerenti: SPF, DMARC o MX sembrano comparire e sparire, e la posta fallisce in modo casuale.

Perché succede

• CNAME sul dominio principale. Un costruttore di siti o una piattaforma di hosting ti dice di puntare yourdomain.com (l'apex, @) con un CNAME. L'apex ha sempre i record SOA e NS e di solito MX e TXT (SPF, verifiche), quindi un CNAME lì non è valido.
• Un sottodominio usato sia per il web sia per la posta. Per esempio shop.yourdomain.com è un CNAME verso la piattaforma del tuo negozio e uno strumento email ti chiede di aggiungere un MX o un TXT SPF sullo stesso nome.
• DKIM aggiunto due volte. Un selettore come selector1._domainkey ha un CNAME di un provider e un TXT di un'altra configurazione.
• TXT di verifica su un nome CNAME. Uno strumento chiede un TXT su www mentre www è un CNAME.
• DMARC su un CNAME. _dmarc.yourdomain.com come CNAME è consentito (delega DMARC), ma allora non puoi aggiungerci anche un tuo TXT.

Come verificare

1. Apri lo scanner di domini e guarda MX, SPF e DMARC. Valori mancanti o strani su un nome che dovrebbe averli sono un indizio.
2. Cerca un CNAME sul nome esatto:

   dig CNAME yourdomain.com +short
   dig CNAME shop.yourdomain.com +short
   shops.platform.example.

   Se restituisce una destinazione, quel nome non può avere nient'altro.
3. Cerca MX e TXT sullo stesso nome:

   dig MX shop.yourdomain.com
   dig TXT shop.yourdomain.com

   Se la sezione della risposta inizia con un CNAME, stai vedendo i record della destinazione, non i tuoi.
4. Invia un'email di test all'indirizzo unico indicato nella home page di Delivmail (/) per vedere i risultati SPF e DMARC del vero dominio di invio.

Come risolvere

CNAME sull'apex

Sostituiscilo con qualcosa di consentito sull'apex:

• Record A/AAAA con gli IP che la tua piattaforma web indica per i domini apex.
• Un record ALIAS, ANAME o "CNAME flattening" se il tuo provider DNS lo offre (Cloudflare appiattisce automaticamente un CNAME sull'apex). Questi rispondono con record A, quindi MX e TXT possono coesistere.
• Oppure punta con un CNAME solo www e reindirizza l'apex verso www.

Before (invalid):
yourdomain.com.   CNAME  sites.platform.example.
yourdomain.com.   MX 10  mail.yourdomain.com.

After:
yourdomain.com.   A      203.0.113.80
yourdomain.com.   MX 10  mail.yourdomain.com.
yourdomain.com.   TXT    "v=spf1 ip4:203.0.113.25 ~all"
www               CNAME  sites.platform.example.

Sottodominio usato per web e posta

Usa nomi diversi: mantieni shop.yourdomain.com come CNAME per il sito e invia la posta da un altro sottodominio come mail.yourdomain.com o news.yourdomain.com, con i suoi MX e TXT. Vedi autenticazione email per i sottodomini.

Selettori DKIM

Mantieni un solo record per selettore. Se un provider usa i CNAME (vedi DKIM con record CNAME), elimina qualsiasi TXT sullo stesso nome di selettore, oppure usa un selettore diverso per l'altro sistema.

TXT di verifica su un nome CNAME

Chiedi allo strumento se accetta la verifica su un altro nome (molti lo fanno) o sull'apex.

Verifica che sia risolto

Dopo la scadenza del TTL dei vecchi record, dig CNAME sul nome non deve restituire nulla dove devono esistere MX o TXT, e dig MX / dig TXT devono restituire direttamente i tuoi record. Controlla di nuovo con lo scanner di domini, poi invia un nuovo test Delivmail e verifica che SPF e DMARC passino. Invia un'email a un indirizzo del dominio per confermare che la ricezione funziona.