Làm cách nào để thiết lập cài đặt DNS với tên miền ở giữa cho DKIM và SPF?

Tôi đang làm việc trên một công cụ giúp người dùng gửi email. Tôi dự định sử dụng MTA (Tác nhân chuyển thư) ở phần cuối như AWS-SES hoặc Sendgrid, v.v. Để email đến thành công trong hộp thư đến công thức, người dùng sẽ phải thiết lập DKIM/SPF bằng cách định cấu hình DNS cài đặt của các miền tương ứng của họ.

Bây giờ nếu tôi lấy SES làm ví dụ, tôi biết họ có một API cho phép tôi để thêm "Danh tính" và tìm nạp lại tất cả các bản ghi DNS cần thiết cho nó bằng API. Tôi chắc chắn rằng Sendgrid và các MTA khác có API tương tự cho phép thêm danh tính và trả lại bản ghi DNS để người dùng đăng ký.

Tôi hiển thị cài đặt DNS DKIM được trả lại cho người dùng và họ thêm cài đặt đó vào nhà cung cấp DNS của họ và sau đó khi họ gửi email, công thức sẽ nhận chính xác (không có bất kỳ nội dung "thông qua amazonses.com" nào trong tiêu đề)

Bây giờ để lấy ví dụ - giả sử rằng công cụ tôi đang xây dựng được lưu trữ trên chillybilly.xyz và một trong những người dùng sử dụng công cụ của tôi, họ có một miền gọi là frankthetank.xyz mà họ muốn sử dụng để gửi email qua nền tảng của tôi .

Khi người dùng cố xác minh miền của họ thông qua nền tảng của tôi, tôi sẽ nhấn vào API được đề cập ở trên trong AWS SES - và hiển thị nội dung như thế này cho người dùng:

Sau đó, họ có thể thêm các bản ghi CNAMES và TXT này để DKIM/SPF thành công và có thể bắt đầu gửi email. Nhưng nếu bạn nhìn kỹ, họ có thể thấy tôi đang sử dụng SES vì giá trị của các bản ghi CNAMES và TXT đó. Và đó là điều tôi muốn tránh, thay vào đó tôi muốn có những thứ được gọi là gì đó như 7nuk24xywyawocu6ctqjxmjasiaiq3vq.dkim.chillybilly.xyz cái này sẽ hiển thị thương hiệu của tôi, nhưng trong nền, nó vẫn trỏ đến đúng tên SES.

Bây giờ tôi biết rằng điều đó là có thể bởi vì khi tôi đăng ký ConvertKit, họ đã cho tôi xem một thứ như sau:

Hai giá trị trong đó, như bạn có thể thấy, đang hướng tới converkit.com NHƯNG khi tôi chạy chúng thông qua tra cứu DNS:

https://dnschecker.org/all-dns-records-of-domain.php?query=spf.dm-5mk8zo6m.sg7.convertkit.com.&rtype=ALL&dns=google

https://dnschecker.org/all-dns-records-of-domain.php?query=dkim.dm-5mk8zo6m.sg7.convertkit.com.&rtype=ALL&dns=google

Tôi có thể thấy rằng trong nền, nó trỏ tới các bản ghi MX và TXT thuộc về Sendgrid. Làm thế nào tôi có thể đạt được điều này? (Tôi tin rằng các nguyên tắc tương tự cũng sẽ áp dụng cho SES hoặc bất kỳ MTA nào khác)

CHỈNH SỬA: Tôi đã thử một số thứ - Và tôi đã đặt CNAME, MX và TXT trong chilllybilly.xyz (miền của dự án của tôi) và tôi đã chỉ hai CNAME cho nó từ frankthetank.xyz được gọi là spf.frankthetank.xyz và dkim.frankthetankxyz

https://dnschecker.org/all-dns-records-of-domain.php?query=spf.frankthetank.xyz&rtype=ALL&dns=google

https://dnschecker.org/all-dns-records-of-domain.php?query=dkim.frankthetank.xyz&rtype=ALL&dns=google

Như bạn có thể thấy, tôi đã có thể đạt được kết quả rất giống với những gì ConvertKit đang làm với Sendgrid. Nhưng nó không được xác minh theo cách này. :(

Sự khác biệt duy nhất mà tôi thấy khi kiểm tra các tra cứu DNS đó (các liên kết ở trên) là các CNAME cũng hiển thị trong phần tra cứu đối với tôi, nhưng không phải trong trường hợp convertkit. Vì vậy, tôi nghĩ rằng tôi gần với một giải pháp, nhưng không chắc mình đang thiếu gì, có ý tưởng nào không? :)

SPF đầu tiên: nếu bạn thay thế vd. bản ghi SPF gửi đi của sendgrid, được bao gồm trong bản ghi SPF của bạn, với thương hiệu của riêng bạn, bạn đồng thời đảm nhận công việc theo dõi tất cả những điều động mà sendgrid có thể thực hiện đối với tên và địa chỉ của máy chủ gửi thư đi của họ. Bạn không muốn làm điều đó, vì vậy nếu bạn đang gửi qua sendgrid, bạn cần bao gồm SPF của sendgrid. Vì vậy, vì bạn sử dụng sendgrid, không có cách nào bạn có thể loại bỏ "bao gồm: sendgrid.net" trong bản ghi SPF của mình mà không gây đau đớn cho chính mình.

DKIM cũng tương tự, ví dụ amazonses đang tạo CNAME cho các bản ghi tồn tại trong DNS của Amazon. Nếu bạn muốn thay thế nó bằng bản ghi của riêng bạn (bạn có thể, không vấn đề gì), bạn phải đặt các bản ghi đó vào DNS của riêng mình. Đó không phải là vấn đề, tuy nhiên, bằng cách nào đó bạn phải chuyển khóa ký cho bất kỳ ai ký các email đó và đó có thể là một vấn đề. Với giải pháp của Amazon, họ tạo khóa và cung cấp cho bạn liên kết đến khóa chung mà họ đã đặt trong DNS của mình phù hợp với khóa riêng tư mà họ ký vào email của bạn.

Tuy nhiên, nếu bạn muốn xóa "nhãn hiệu" khỏi máy chủ thư của Amazon hoặc sendgrid thì cách duy nhất là mua chúng, bởi vì điều đó được thực hiện bởi DNS ngược và chúng sẽ KHÔNG BAO GIỜ trỏ các máy chủ gửi đi của chúng tới các tên trong không gian tên DNS của bạn.

Vì vậy, bạn chỉ có thể thực hiện các bản ghi CNAME trỏ đến bản ghi nguồn ban đầu hoặc chỉ cần đặt SPF chính xác như ví dụ về bộ chuyển đổi nhưng trong miền của bạn.

hoặc có phần mềm trung gian thực hiện quy trình xác minh miền trong sendgrid/AWS, tạo bản ghi DNS trên miền của bạn, sau đó bạn thông báo cho khách hàng của mình CNAME đối với bản ghi DNS mới mà bạn đã tạo, sau đó hoàn tất xác minh sau khi khách hàng nhấp vào nút để nói rằng họ đã làm điều này

điều này sẽ không dừng các tiêu đề email hoặc theo dõi các bản ghi DNS để tìm nhà cung cấp ban đầu nhưng đối với một người bình thường thì đây là rất có thể khỏe.

Tuy nhiên, tôi muốn báo trước điều này - các lớp che giấu thực sự gây hại cho lớp DNS.

Ví dụ: SPF có giới hạn tra cứu 10 được mã hóa cứng rõ ràng trong RFC - Sendgrid tự viết về nó - https://docs.sendgrid.com/ui/account-and-settings/spf-limitations

• RFC gốc. Bạn có nguy cơ cao gặp phải sự cố này nếu bạn thực hiện bất kỳ hình thức che giấu SPF nào

tra cứu DNS bổ sung sẽ tăng thời gian phản hồi cho bất kỳ tra cứu dựa trên DNS nào trong luồng gửi thư và/hoặc ứng dụng của bạn - điều này có thể gây ra nhiều nỗi đau ở nhiều cấp độ, đặc biệt là khi MTA đang xử lý theo thời gian thực, bất kỳ sự chậm trễ nào cũng có khả năng ảnh hưởng rất lớn.

Để đưa một số phép toán vào vấn đề này, hãy tưởng tượng một email mất 20 mili giây để được xử lý và gửi qua MTA với DNS - đây là ví dụ tốt nhất cho trường hợp giả định logic này đúng. Bạn có thể gửi khoảng 180 nghìn email mỗi giờ. Nếu chúng tôi cần tăng gấp đôi con số này bằng cách thêm ít nhất 1 lần tra cứu dns thì con số này sẽ giảm một nửa xuống còn 90.000 email mỗi giờ. Nếu bạn phụ thuộc vào khối lượng, bây giờ bạn sẽ cần gấp đôi lượng phần cứng để duy trì cùng một thông lượng.