Настройка DNS-записей для Microsoft 365: подтверждение, MX, Autodiscover, SPF, DKIM

Microsoft 365 даёт компании почту Outlook, Teams, OneDrive и приложения Office в рамках одной учётной записи. Чтобы почта работала на адресах вида imya@kompaniya.uz, домен нужно добавить в Microsoft 365 и настроить ряд DNS-записей. По сравнению с другими почтовыми сервисами записей здесь чуть больше: отдельные записи отвечают за подтверждение владения, приём писем, автонастройку почтовых программ и подпись писем. Если понимать, зачем нужна каждая, настройка совсем не страшна.

Добавляем домен в центр администрирования

Войдите в центр администрирования Microsoft 365 как глобальный администратор, откройте Settings, затем Domains и нажмите Add domain. После ввода имени Microsoft спросит, каким способом подтвердить владение. Для некоторых регистраторов может предлагаться автоматическая настройка, но вариант с ручным добавлением записей есть всегда, и он наглядно показывает назначение каждой записи. Если домен зарегистрирован через sayt.uz и NS-серверы находятся у нас, записи добавляются в разделе DNS домена в личном кабинете.

Запись подтверждения, начинающаяся с MS=

Первая запись нужна только для доказательства владения. Microsoft выдаёт значение, которое начинается с MS=ms и продолжается цифрами, и ожидает увидеть его как TXT-запись на корне домена. На почту и сайт эта запись не влияет. Если на домене есть SPF или TXT-записи других сервисов, не объединяйте с ними новое значение, а добавьте его отдельной записью. После добавления нажмите кнопку проверки в центре администрирования; если проверка не прошла сразу, подождите распространения DNS.

Основные записи для почты

После подтверждения центр администрирования покажет список записей для Exchange Online. Самая важная из них — MX: она направляет письма на серверы Microsoft. Значение строится из имени домена: обычно точки заменяются дефисами и добавляется mail.protection.outlook.com. Например, для example.uz это будет example-uz.mail.protection.outlook.com. Поскольку Microsoft обновляет формат MX для новых доменов, не составляйте значение сами, а копируйте точную строку из центра администрирования.

Запись Autodiscover позволяет Outlook самостоятельно найти настройки сервера, когда сотрудник вводит только адрес и пароль. Без неё почта будет работать, но добавление учётной записи на телефонах и компьютерах станет запутанным. MX-записи, указывающие на старый почтовый сервер, обязательно удалите, иначе письма будут делиться между двумя местами.

Правильно составляем SPF

SPF-запись объявляет, какие серверы могут отправлять письма от имени домена. Если вся почта уходит только через Microsoft 365, достаточно записи из таблицы. Но во многих компаниях письма отправляет и сайт с хостинга: подтверждения заказов, восстановление пароля, форма обратной связи. Тогда оба источника должны быть в одной SPF-записи, ведь две SPF-записи считаются ошибкой. Например: v=spf1 include:spf.protection.outlook.com a mx -all. Здесь -all — строгая политика, которая просит отклонять письма с серверов не из списка; если отправители ещё не выяснены до конца, безопаснее временно поставить ~all.

DKIM: два CNAME-селектора

В Microsoft 365 DKIM настраивается не длинным TXT-ключом, как в других сервисах, а двумя CNAME-записями. Их имена — selector1._domainkey и selector2._domainkey, а значения — адреса на серверах Microsoft, построенные на основе имени вашего тенанта. Точные значения вы увидите в портале Microsoft Defender, в настройках аутентификации электронной почты, в разделе DKIM. Когда CNAME-записи добавлены и распространились, там же нужно включить подпись DKIM для домена. Два селектора нужны, чтобы периодически безопасно менять ключи.

selector1._domainkey  CNAME  selector1-example-uz._domainkey.tenant.onmicrosoft.com.
selector2._domainkey  CNAME  selector2-example-uz._domainkey.tenant.onmicrosoft.com.
_dmarc                TXT    "v=DMARC1; p=none; rua=mailto:dmarc@example.uz"

Значения выше — лишь образец: вместо tenant будет имя вашей организации, а формат должен совпадать с тем, что показан в портале. DMARC-запись сначала ставится с p=none и постепенно ужесточается после изучения отчётов.

Дополнительные записи: Teams и управление устройствами

Иногда центр администрирования показывает и дополнительные записи. Например, если вы планируете управлять устройствами компании через Intune, понадобятся CNAME-записи enterpriseregistration и enterpriseenrollment. Для некоторых организаций в списке могут появиться и записи SRV и CNAME, связанные с Teams. Они нужны только при использовании соответствующей службы, поэтому посмотрите, какие службы выбраны в центре администрирования, и не добавляйте лишнего.

Пример: бухгалтерская фирма в Ташкенте

Бухгалтерская фирма из десяти человек в Мирабадском районе обменивается с клиентами файлами Excel и проводит встречи в Teams, поэтому выбрала Microsoft 365. Администратор добавил домен в центр администрирования, подтвердил его записью MS=, а в пятницу вечером добавил MX, autodiscover и SPF и удалил MX старой почты хостинга. Поскольку форма обратной связи на сайте отправляет письма с хостинга, в SPF добавили и a mx. К понедельнику селекторы DKIM распространились, и подпись включили. Сотрудники подключились в Outlook, введя только адрес и пароль, без дополнительных настроек сервера.

Проверка результата

dig +short TXT example.uz
dig +short MX example.uz
dig +short CNAME autodiscover.example.uz
dig +short CNAME selector1._domainkey.example.uz

Страница домена в центре администрирования тоже показывает состояние записей и сообщает, какой не хватает. Для более сложных проблем инструмент Microsoft Remote Connectivity Analyzer проверяет Autodiscover и поток почты снаружи. Когда все проверки зелёные, отправьте тестовое письмо на внешний ящик и убедитесь, что в заголовках результаты SPF, DKIM и DMARC равны «pass».