O registro MX do DNS: um sinal de confiança?

Todo endereço de e-mail termina com um nome de domínio: o que vem depois do @. Para que uma mensagem chegue, os servidores precisam saber onde entregar a correspondência desse domínio. Essa é a função de uma linha minúscula no catálogo da Internet: o registro MX. Pequenininho, mas indispensável… e muito útil para identificar um endereço falso.

O DNS, o catálogo da Internet

Os computadores só conhecem números: os endereços IP, como 203.0.113.10. Já as pessoas preferem nomes, como example.com. O DNS faz a tradução, como a agenda do celular que transforma «Mãe» num número.

Para um site, a pergunta feita ao DNS é simples: «em que endereço fica este site?». A resposta é um registro do tipo A (ou AAAA para os endereços mais novos, em IPv6). O navegador vai direto a esse endereço, e pronto.

O correio tem sua própria placa: o MX

O e-mail recebe um tratamento especial: um tipo de registro só dele, o MX (Mail eXchanger, «trocador de correio»). Ele responde a outra pergunta: «para os e-mails enviados a @este-dominio, com qual servidor é preciso falar?».

Por que uma placa separada? Porque a máquina que recebe os e-mails muitas vezes não é a mesma que mostra o site. Uma empresa pode hospedar o site num provedor e confiar os e-mails ao Google ou à Microsoft. O MX serve para dizer: «o site fica aqui, mas as cartas vão para lá».

A Web não precisa desse desvio: o navegador vai ao site no endereço dele, e ponto. Já no e-mail, um domínio que quer receber mensagens precisa declarar um MX. A norma até prevê um plano B (se não houver MX, os servidores tentam o endereço do próprio domínio), mas é um resquício antigo em que os domínios sérios não se apoiam. Sem MX, é como uma casa sem caixa de correio. É a etapa 3 do guia Como um e-mail viaja do remetente ao destinatário.

O titular e os reservas

Um domínio pode declarar vários MX, cada um com um número de prioridade. A regra para lembrar: o menor número vai primeiro, como no golfe. Os outros são reservas, como os goleiros no banco: só entram em campo se o titular não responder. Veja como fica:

example.com.   MX   10   mail1.example.com.
example.com.   MX   20   mail2.example.com.

Aqui, os e-mails vão primeiro para mail1 (prioridade 10). Se esse servidor estiver fora do ar, tenta-se mail2 (prioridade 20). Grandes provedores como o Gmail declaram vários MX assim, para nunca perder uma mensagem.

Um sinal de confiança… com ponto de interrogação

Ter MX é o mínimo de seriedade. Uma empresa de verdade, um órgão público de verdade, uma pessoa de verdade querem poder receber respostas. Por isso o domínio deles tem caixa de correio.

Ausência de MX no domínio do remetente é sinal de alarme. Significa que o endereço que aparece em «De:» não recebe nada: se você responder, sua mensagem não vai para lugar nenhum. O endereço provavelmente foi inventado, ou jogado fora logo depois do envio. É típico do spam e do phishing que fabricam endereços em série.

Atenção, o ponto de interrogação importa! Um MX não prova honestidade. Um golpista que compra o próprio domínio pode declarar um MX em dois minutos, e até configurar SPF, DKIM e DMARC. Outra confusão comum: o MX indica onde o e-mail chega, não de onde ele sai. O servidor que envia não precisa ser o MX; quem regula o envio é o SPF, explicado no guia Phishing: como os golpistas fazem seus e-mails chegarem.

Resumindo: sem MX, muita dúvida. Com MX, bom começo, mas continue verificando.

Por que o Baitback verifica isso

Quando um e-mail é analisado com o Baitback, a ferramenta pega o domínio do endereço «De:» e pergunta ao DNS: este domínio tem MX, ou pelo menos um endereço reserva? Se a resposta for não, o Baitback mostra um alerta («este domínio não pode receber e-mails: endereço descartável ou inventado») e soma 15 pontos à pontuação de alerta.

Essa verificação nunca é usada sozinha: ela se soma às outras pistas (domínio criado há poucos dias, nome que imita uma marca, SPF falhando…). É o conjunto que faz a pontuação subir e ajuda a decidir se vale denunciar.

Verifique você mesmo em 10 segundos

Todo mundo deveria ter esse reflexo antes de responder a um desconhecido, clicar num link ou pagar qualquer coisa. Três formas de fazer:

• A mais simples: colar o e-mail no Baitback, que faz a verificação sozinho, junto com os outros controles.
• No computador (Windows, Mac ou Linux), abra um terminal e digite:

  nslookup -type=mx example.com

  No Mac e no Linux, também dá para usar:

  dig mx example.com +short

  Se a resposta não tiver nenhuma linha «mail exchanger» ou «MX», o domínio não tem caixa de correio.
• On-line: muitos sites gratuitos de «consulta DNS» mostram os MX de um domínio com um clique.

Você tem seu próprio nome de domínio? Confira se ele tem MX, caso receba e-mails. E se ele nunca envia nem recebe e-mails, avise o mundo inteiro: um «MX nulo» e um SPF que proíbe qualquer envio (v=spf1 -all) impedem que golpistas usem o seu nome de forma convincente.

Você sabia?

• O MX foi inventado em 1986, só três anos depois do próprio DNS. O e-mail foi um dos primeiríssimos serviços a ganhar sua própria placa no catálogo.
• example.com não é de ninguém… ou quase. Esse nome, assim como example.org e tudo o que termina em .example, está reservado desde 1999 para servir de exemplo. Não dá para comprá-lo: é por isso que os guias o usam.
• Existe um «MX nulo». Desde 2015, um domínio pode declarar MX 0 .: é o adesivo «Não aceitamos correspondência, obrigado» na caixa de correio. Assim os servidores sabem que não adianta insistir.
• 13 nomes, centenas de cópias. No topo do DNS ficam os servidores raiz, identificados por 13 letras, de A a M. Mas cada um é copiado em centenas de lugares no mundo: provavelmente há um não muito longe de você.
• O DNS tem memória. Cada resposta fica guardada por um tempo escolhido pelo domínio, o TTL: de alguns minutos a um dia. É por isso que uma mudança de MX pode levar algumas horas para ser vista em todo lugar.