Как работает catch-all почта на вашем домене

Три шага

1. 1Заводите домен в панели. Вставляете bootstrap-токен Cloudflare или подключаете аккаунт Namecheap, и MX-запись пишем мы; либо ставите записи TXT и MX руками на любом DNS.
2. 2Ящик создаётся до того, как MX заработает, потом со своего почтового домена уходит сквозное проверочное письмо. Домен считается живым только после того, как оно дошло.
3. 3Ваш софт подключается к ящику по POP3S на 995 или IMAPS на 993 и читает коды.

На вашей зоне — только MX

MX субдомена (на Pro — по одной на каждый из пяти) — и всё. Ни SPF, ни DKIM, ни DMARC: это записи отправителя, а сервис только принимает. Проверочное письмо уходит с нашего почтового домена на ваш адрес, так что для него в вашей зоне ничего не нужно.

Субдомен, а не апекс

На апексе у вас может стоять живая почта. Второй MX там расщепит доставку, замена — уничтожит её. Проверки «на апексе нет MX» тоже мало: без MX отправители падают на A-запись, то есть почта ходит и без единой MX, а наша запись её перенаправит. Поэтому апекс не поддерживается вовсе, а не «поддерживается с проверкой».

Метка ваша, и она не otp

Имя субдомена выбираете вы, по умолчанию оно нейтральное и случайное. Метка вроде otp — готовый признак одноразовой почты, по которому площадка отклонит адрес ещё до письма.

Забор писем и почему POP3 сериализован

Одна POP3-сессия на ящик с одного IP-адреса за раз. Пока первая сессия открыта, сервер отклоняет вторую попытку входа ошибкой; войти снова можно, как только первая закончится. Иначе несколько потоков видят одно письмо, оба берут код, и один удаляет его из-под другого. IMAP есть для тех, кому он удобнее.

Что мы храним

Письма живут 72 часа в тех копиях, которыми управляем мы, и не бэкапятся. То, что софт уже скачал, лежит у вас, и отозвать эти байты мы не можем. Веб-API в пути письма нет: почта не покидает почтовую машину, в панель попадают только счётчики и журнал доступа.