English
A domain that loads in the browser can still fail at the inbox. SPF, DKIM, MX, and a patient TTL are the difference.
The website and the mailbox are different
DNS is a list of instructions for a domain. An A record says where the website lives. An MX record says where mail for that domain should be delivered. They can point at different machines, and on LUSONA they often do: the website on one host, mail on the mail platform, the Windows VPS used for the desktop apps. Changing the A record to “make the email work” is a common way to take the website down without fixing mail.
The four records that matter
MX points at the mail servers, with a priority number. Lower numbers are tried first. Do not leave an old MX in place “just in case”. Receiving servers will still try it.
SPF is a TXT record that lists who may send mail as your domain. A typical value starts with v=spf1 and ends with -all, which means “everyone else is forged”. If you send from the VPS and from a web form and from Microsoft 365, every one of those senders has to be in that single record. Two SPF records on the same domain are an error; they must be merged into one.
DKIM is a cryptographic signature. The mail server signs each message, and you publish the public key as a TXT record under a name we give you, often something like lusona._domainkey. Without it, large inboxes treat the mail as easier to reject.
DMARC is a TXT record on _dmarc. It tells receivers what to do when SPF or DKIM fails, and where to send reports. Start with p=none so you can read the reports before you ask receivers to reject failures. Moving straight to p=reject on a domain that still sends from an old copier will bounce real invoices.
Waiting is part of the job
DNS changes are cached. A TTL of 3600 means some networks will keep the old answer for an hour; a TTL of 86400 means a day. Lower the TTL a day before a planned move, then raise it again after mail flows. Testing with one inbox you control is not enough: check a Gmail account and an Outlook.com account, and look at the message headers for spf=pass and dkim=pass.
If a form on the website sends mail, that form is a sender too. The contact form on lusona.org does not log into the mailbox. It delivers a message into info@lusona.org and contact@lusona.org. Your reply still goes out from those mailboxes, so their SPF and DKIM are what the customer sees.
Português
Um domínio que abre no browser pode mesmo assim falhar na caixa de correio. SPF, DKIM, MX e um TTL paciente fazem a diferença.
O site e a caixa são coisas diferentes
O DNS é uma lista de instruções de um domínio. Um registo A diz onde vive o site. Um registo MX diz para onde deve ir o correio desse domínio. Podem apontar para máquinas diferentes, e na LUSONA muitas vezes apontam: o site num alojamento, o correio na plataforma de correio, o VPS Windows para as aplicações de secretária. Mudar o registo A para “pôr o e-mail a funcionar” é uma forma habitual de derrubar o site sem arranjar o correio.
Os quatro registos que importam
O MX aponta para os servidores de correio, com um número de prioridade. Os números mais baixos são tentados primeiro. Não deixe um MX antigo “por segurança”. Os servidores de receção vão continuar a experimentá-lo.
O SPF é um registo TXT que lista quem pode enviar correio em nome do seu domínio. Um valor típico começa com v=spf1 e acaba com -all, que significa “todos os outros são falsos”. Se envia a partir do VPS, de um formulário web e do Microsoft 365, cada um desses remetentes tem de estar nesse único registo. Dois registos SPF no mesmo domínio são um erro; têm de ser fundidos num só.
O DKIM é uma assinatura criptográfica. O servidor de correio assina cada mensagem, e você publica a chave pública como registo TXT num nome que lhe damos, muitas vezes algo como lusona._domainkey. Sem isso, as caixas grandes tratam o correio como mais fácil de recusar.
O DMARC é um registo TXT em _dmarc. Diz aos recetores o que fazer quando o SPF ou o DKIM falha, e para onde enviar relatórios. Comece com p=none para ler os relatórios antes de pedir a rejeição. Passar logo a p=reject num domínio que ainda envia a partir de uma fotocopiadora antiga vai devolver faturas reais.
Esperar faz parte
As mudanças de DNS ficam em cache. Um TTL de 3600 significa que algumas redes guardam a resposta antiga durante uma hora; um TTL de 86400 significa um dia. Baixe o TTL um dia antes de uma mudança planeada e volte a subi-lo quando o correio fluir. Testar com uma caixa que controla não chega: verifique uma conta Gmail e uma conta Outlook.com, e leia os cabeçalhos à procura de spf=pass e dkim=pass.
Se um formulário no site envia correio, esse formulário também é um remetente. O formulário de contacto em lusona.org não inicia sessão na caixa. Entrega uma mensagem em info@lusona.org e contact@lusona.org. A sua resposta sai dessas caixas, por isso o SPF e o DKIM delas são o que o cliente vê.