MX Lookup — Vérifier les Enregistrements MX

Que signifie la priorité MX ?

La priorité (la RFC 5321 l'appelle préférence) fixe l'ordre : un expéditeur essaie d'abord le numéro le plus bas et ne passe au suivant que si ce serveur ne répond pas ou diffère le message avec une réponse temporaire 4xx.

Les serveurs de même numéro se partagent la charge : l'expéditeur en choisit un au hasard. Seul l'ordre compte, pas les écarts, et 0 est un numéro valide. Un seul enregistrement MX suffit quand le nom qu'il désigne se répartit sur de nombreux serveurs, comme chez Microsoft 365 et Mimecast.

Notre conseil sur le MX de secours : un serveur de secours chez une autre entreprise qui filtre moins que votre serveur principal est une voie connue pour le spam, et les fournisseurs hébergés font déjà tourner des serveurs redondants derrière un seul nom MX. Si vous en gardez un, il doit appliquer les mêmes contrôles SPF et antispam que le principal (RFC 7208, annexe F).

Enregistrements MX de Microsoft 365

Microsoft 365 attribue à chaque domaine un enregistrement MX sous mail.protection.outlook.com, par exemple microsoft-com.mail.protection.outlook.com, généralement en priorité 0. La première partie est un jeton que vous copiez depuis le centre d'administration Microsoft 365 : il ressemble souvent au domaine avec des tirets, mais pas toujours.

Les domaines qui activent SMTP DANE en entrée reçoivent à la place un hôte sous mx.microsoft, par exemple siemens-com.h-v1.mx.microsoft : cette zone est signée avec DNSSEC, les expéditeurs peuvent donc vérifier le certificat du serveur avec DANE. Pendant la migration, les deux enregistrements sont actifs, le nouveau d'abord derrière l'ancien, puis devant lui, jusqu'à la suppression de l'ancien. Microsoft ne prévoit pas de signer mail.protection.outlook.com : l'hôte historique n'est donc pas obsolète.

Courrier non reçu ? La place du MX dans le dépannage

Lisez d'abord le message de rebond : son code d'état indique quelle étape a échoué. Les problèmes de MX se traduisent par « host not found » ou par de longs délais ; une boîte aux lettres inexistante, c'est 5.1.1 ; les échecs d'authentification sont des rejets 5.7.x.

Parcourez la liste dans l'ordre : le domaine doit exister, son MX doit désigner le fournisseur que vous utilisez, chaque hôte MX doit se résoudre et répondre sur le port 25, et ce n'est qu'ensuite que SPF, DKIM, DMARC et les listes noires décident où atterrit un message.

Hôtes MX des fournisseurs courants

La plupart des domaines font pointer leur MX vers l'un de quelques dizaines de fournisseurs, et chacun publie des noms d'hôte reconnaissables. C'est ainsi que l'outil identifie le fournisseur de messagerie d'un domaine, et que vous pouvez comparer une configuration aux valeurs du fournisseur.

Des passerelles comme Mimecast, Proofpoint et Barracuda se placent devant l'hôte des boîtes aux lettres ; l'outil lit alors le SPF et l'Autodiscover pour nommer les boîtes aux lettres probables qui se trouvent derrière.