DNS как чёрный ящик: как навести порядок в доменах и хостинге

Деловые письма клиентам приходят во «спам». Маркетинговые рассылки теряют inbox. Никто в компании не уверен, где живёт DNS: у регистратора, у хостера, у «того парня», который настраивал почту три года назад. SPF вроде есть. DKIM «включали». DMARC — никто не трогал, потому что страшно.

DNS для почты и сайта — не магия. Это набор записей, от которых зависят и доставляемость, и то, куда смотрит домен после смены хостинга. Когда зона — чёрный ящик, любой переезд или смена почтового сервиса заканчивается сюрпризом.

Как проявляется чёрный ящик

Письма с корпоративного домена не проходят проверку у крупных провайдеров: SPF не включает актуальный сервер отправки, DKIM не совпадает с селектором, DMARC в `reject`, а вы об этом узнаёте по жалобам.

Сайт «иногда не открывается» после смены A-записи: часть клиентов держит старый TTL, часть DNS-серверов кэширует иначе, а в зоне ещё живёт забытый CNAME.

Поддомен тестовый контур случайно указывает в прод. Или наоборот — боевая почта MX смотрит на выключенный сервер.

Ошибки, которые держат хаос годами

Править DNS по памяти без экспорта зоны и без тикета «что меняли».

Держать доступ на личной почте подрядчика.

Копировать SPF «как у всех» и склеивать несколько политик в невалидную кашу.

Включать строгий DMARC без периода мониторинга и без понимания, кто реально шлёт почту от имени домена (CRM, маркетинг, биллинг, помощь).

Как навести порядок

Сделайте инвентаризацию: где мастер зона, кто админ, какие сервисы отправляют почту, какие поддомены критичны. Экспортируйте зону. Это уже половина лечения.

Для почты соберите карту отправителей и настройте согласованно SPF, DKIM, DMARC. Начните с DMARC в режиме наблюдения, соберите отчёты, уберите левых отправителей, затем ужесточайте.

Для сайта фиксируйте TTL перед переносами, проверяйте цепочки CNAME, не оставляйте «временные» записи на годы.

Мини регламент:

• любое изменение DNS — через заявку и откат план;
• два человека с доступом, не один личный аккаунт;
• после правок — проверка почты и сайта с внешних резолверов;
• календарь сроков доменов и DNSSEC/сертификатов рядом, не «в голове».

Быстрый тест, если письма уже в спаме

Отправьте тестовое письмо на ящики крупных провайдеров и разберите заголовки аутентификации. Часто сразу видно: fail SPF или отсутствие DKIM. Параллельно проверьте, не отправили ли вы с сервера, которого нет в SPF, и не «сломали» ли запись после подключения новой CRM.

Регламент изменений, который спасает почту

Любая правка MX, TXT и ключевых A/CNAME должна проходить через короткий чеклист: экспорт зоны, скрин до, план отката, проверка после с внешних резолверов, тестовое письмо.

Соберите реестр отправителей: корпоративная почта, CRM, маркетинг, биллинг, саппорт. Каждый должен быть отражён в SPF/DKIM. «Левый» сервис отправки — классическая причина спама и fail DMARC.

Доступы к кабинету DNS и регистратору вынесите из личных ящиков сотрудников. Два владельца, пароль в корпоративном хранилище, журнал действий.

Раз в полгода делайте аудит «забытых» записей: старые поддомены, тестовые указания, неиспользуемые селекторы DKIM. Мусор в зоне усложняет диагностику в кризис.

Почта, сайт и переезд как один контур

DNS связывает слишком многое, чтобы жить без хозяина. Назначьте владельца зоны и заместителя. Любой подрядчик работает через них, а не «сам чуть чуть поправит».

Перед сменой хостинга или почты составьте карту записей, которые нельзя забыть: MX, SPF, DKIM, DMARC, verification TXT рекламных кабинетов, служебные поддомены.

Проверяйте доставляемость после изменений не одним тестовым ящиком. Разные провайдеры по разному строги к аутентификации. Картина из одного Gmail вводит в заблуждение.

Держите рядом календарь сроков домена и автопродление на корпоративную карту. Истечение домена — соседняя по боли катастрофа к «чёрному ящику» DNS.

Сделайте «паспорт домена»: регистратор, где DNS, кто платит, когда истекает, какие сервисы завязаны, какие TXT критичны. Один документ снимает половину паники при инциденте.

При подозрении на компрометацию кабинета DNS действуйте как при взломе: смена паролей, ревизия записей, проверка MX/A на подмену, уведомление заинтересованных команд. Подмена DNS бьёт и по сайту, и по почте одновременно.

Не храните единственную копию экспорта зоны в личном ноутбуке. Экспорт должен быть в корпоративном пространстве с историей.

Если письма уже массово уходят в спам, не ограничивайтесь правкой одной TXT-записи «наугад». Снимите текущее состояние SPF/DKIM/DMARC, список отправителей и только потом меняйте. Слепые правки легко сделать доставляемость ещё хуже.

После наведения порядка назначьте квартальный контроль: сверка отправителей и валидность ключевых записей. DNS снова становится чёрным ящиком ровно тогда, когда за ним перестают смотреть.

Сделайте учебный разбор одного прошлого инцидента с почтой или DNS для команды: что изменили, что сломалось, как починили. Это дешевле следующего падения в чёрный ящик.

Храните контакты регистратора и поддержки DNS там же, где паспорт домена. В инциденте минуты на поиск телефона стоят дороже любой записи SPF.

Прозрачная зона DNS и карта отправителей — базовая гигиена. Без них почта и сайт будут ломаться «внезапно», хотя причина лежит в давно забытой записи.

Экспорт зоны, два владельца доступа и карта отправителей возвращают контроль быстрее, чем любые срочные правки «наугад» в пятницу вечером.

Итог

Пока DNS остаётся чёрным ящиком, почта будет гулять между inbox и спамом, а переезды сайта — между «у нас открывается» и «у клиента нет». Прозрачная зона, карта отправителей и аккуратные SPF/DKIM/DMARC снимают большую часть этой лотереи.

Начните с экспорта зоны и списка, кто имеет право слать от вашего домена. Это скучно — и именно поэтому работает.