Comment changer d’hébergeur de messagerie sans perdre d’e-mails

Changer de fournisseur de messagerie est une migration DNS assortie d’une migration des boîtes mail. Une approche par étapes prépare le nouveau service pendant que le fournisseur actuel continue de recevoir les e-mails, puis modifie les enregistrements MX lorsque chaque destinataire et chaque enregistrement d’envoi sont prêts. Cette séquence offre à l’administrateur du domaine un chemin de retour en arrière clair pour un foyer, une équipe dirigée par ses fondateurs ou un domaine personnel.

La page d’hébergement de messagerie sur domaine personnalisé de Thelemail résume le service géré. Ce guide porte sur la planification et l’exécution du transfert.

Comprendre ce que modifie MX

Les enregistrements MX indiquent aux serveurs d’envoi quels hôtes acceptent les e-mails entrants pour un domaine. Une valeur de priorité inférieure correspond à une priorité plus élevée. Lorsque vous remplacez les enregistrements MX du fournisseur actuel par les valeurs du nouveau fournisseur, les nouveaux expéditeurs commencent à acheminer les e-mails vers le nouveau service à mesure que leurs caches DNS sont actualisés.

MX ne joue aucun rôle dans l’authentification des e-mails sortants. SPF, DKIM et DMARC gèrent l’autorisation d’envoi et l’alignement du domaine. Ces enregistrements peuvent généralement être préparés avant le basculement des e-mails entrants.

La propagation DNS est un processus d’expiration des caches. Chaque résolveur peut conserver une réponse antérieure jusqu’à l’expiration de sa durée de vie. Réduire le TTL des enregistrements MX avant un transfert planifié peut raccourcir la durée de nombreux caches, à condition que cette modification ait elle-même suffisamment de temps pour se propager. Certains résolveurs et systèmes d’envoi peuvent conserver les données plus longtemps ; l’ancien service doit donc rester actif pendant la période de chevauchement.

Le guide de SPF, DKIM, DMARC et MX explique le rôle et l’interaction de chaque enregistrement.

Phase 1 : inventorier le domaine actuel

Répertoriez tous les destinataires avant de toucher au DNS. Incluez :

• Une boîte mail pour chaque personne.
• Les alias et les adresses de transfert.
• Les adresses partagées du foyer ou les adresses fonctionnelles de l’entreprise.
• Les adresses utilisées par les systèmes automatisés, pour les factures ou pour la récupération des comptes.
• Les anciennes adresses qui reçoivent encore occasionnellement des messages.
• Les expéditeurs qui utilisent le domaine, notamment les formulaires du site web, les systèmes de facturation et les lettres d’information.

Exportez la configuration d’acheminement du fournisseur actuel lorsque cela est possible. Recherchez dans les anciennes documentations, les gestionnaires de mots de passe et les en-têtes des messages les adresses oubliées. Un destinataire qui ne reçoit qu’un seul renouvellement annuel peut facilement échapper à une courte période d’observation.

Associez chaque ancienne adresse à une boîte mail, un alias ou une adresse partagée du nouveau service. Le guide des alias, des boîtes mail et des adresses partagées fournit un modèle de classement clair. Les offres payantes Thelemail incluent des alias illimités, sous réserve d’un garde-fou anti-abus par espace de travail ; les alias ne sont pas inclus dans l’offre Free. Les capacités en matière de boîtes mail, de stockage et de domaines dépendent de l’offre tarifaire sélectionnée.

Enregistrez la zone DNS actuelle ou notez chaque valeur liée à la messagerie. Consignez MX, SPF, les sélecteurs DKIM, DMARC, MTA-STS, les rapports TLS et les enregistrements de vérification du fournisseur. Cet instantané facilite la résolution des problèmes et le retour en arrière.

Phase 2 : réduire le TTL et sécuriser l’accès administrateur

Plusieurs jours avant le transfert, vérifiez le TTL actuel des enregistrements MX. Si votre hébergeur DNS le permet, réduisez la valeur assez tôt pour que les caches existants expirent avant le basculement. Une valeur comme 300 secondes est courante, même si votre politique opérationnelle peut en exiger une autre.

Vérifiez l’accès au bureau d’enregistrement, au fournisseur DNS, à l’ancien hébergeur de messagerie et au nouveau. Activez l’authentification multifacteur et vérifiez les moyens de récupération. Conservez les identifiants dans un canal qui restera accessible si la messagerie du domaine est perturbée.

Consignez le critère et le responsable du retour en arrière. Les échecs répétés de destinataires, les échecs d’authentification auprès de grands fournisseurs destinataires ou la découverte d’une adresse manquante après le basculement en sont des exemples. Une règle de décision claire évite les modifications DNS improvisées pendant un incident.

Phase 3 : vérifier le domaine et préparer l’envoi

Ajoutez l’enregistrement de propriété fourni par le nouveau fournisseur tout en laissant les enregistrements MX existants en place. La vérification établit le contrôle administratif sans rediriger les e-mails entrants.

Publiez le nouvel enregistrement DKIM et configurez SPF afin d’autoriser chaque expéditeur légitime qui fonctionnera pendant la transition. Un domaine doit publier une seule politique SPF ; réunissez donc tous les mécanismes des fournisseurs dans cette politique. Tenez compte de la limite des recherches et des expéditeurs tiers.

Les sélecteurs DKIM peuvent coexister, car chacun possède un nom DNS distinct. Conservez la clé DKIM de l’ancien fournisseur tant que des messages signés par celui-ci sont susceptibles d’être évalués. Ne supprimez les sélecteurs qui ne sont plus utilisés qu’après la transition et l’expiration de toute durée de vie pertinente des messages.

Commencez DMARC avec une politique et une configuration de rapports adaptées à la maturité actuelle du domaine. Examinez les rapports agrégés afin d’identifier les expéditeurs légitimes et les problèmes d’alignement. Le passage à une application stricte mérite un déploiement progressif distinct, une fois chaque expéditeur compris.

Le processus de connexion d’un domaine de Thelemail génère et vérifie les valeurs nécessaires. Copiez-les exactement, car le comportement des champs d’hôte varie selon les panneaux de contrôle DNS.

Phase 4 : créer les destinataires et importer les e-mails

Créez chaque destination de l’inventaire. Donnez à chaque personne une boîte mail distincte, ajoutez des adresses partagées pour les responsabilités collectives et acheminez chaque alias. Testez la récupération des comptes et l’authentification multifacteur avant que les membres ne dépendent du nouveau service.

Importez les messages historiques tant que l’ancien fournisseur reste disponible. Les boîtes mail volumineuses peuvent nécessiter plusieurs passages. Conservez les dossiers, les dates et les indicateurs lorsque la méthode de migration le permet, puis comparez des dossiers représentatifs et le nombre de messages.

Envoyez des messages de test sortants depuis le nouveau service vers des fournisseurs externes. Examinez les en-têtes reçus pour vérifier les résultats SPF, DKIM et DMARC. Les réponses continueront de suivre l’ancien chemin MX jusqu’au basculement, ce qui est normal. Testez l’adresse affichée dans From, le comportement de Reply-To et toute identité d’envoi partagée utilisée par le foyer ou l’équipe.

Examinez le modèle de sécurité et de menaces avec les membres avant le transfert. Thelemail utilise un stockage sans accès au contenu des boîtes mail et un chiffrement de bout en bout entre les comptes Thelemail. Pour les e-mails externes, WKD/OpenPGP protège le contenu des messages lorsqu’une clé compatible est disponible ; les autres e-mails utilisent le protocole SMTP standard avec TLS lorsque celui-ci est pris en charge. Les objets des messages externes et les métadonnées d’acheminement restent visibles. Les moyens de récupération sont importants, car le service ne peut pas déchiffrer les e-mails stockés après la perte simultanée du mot de passe et des éléments de récupération.

Phase 5 : modifier MX une fois que tout est prêt

Choisissez un moment où l’administrateur peut surveiller les deux fournisseurs. Supprimez les anciens enregistrements MX et saisissez l’ensemble complet des enregistrements MX du nouveau fournisseur exactement comme celui-ci les fournit. Conservez les priorités et les points finaux selon le format de l’hébergeur DNS.

N’utilisez pas les anciens et les nouveaux fournisseurs comme destinations de même priorité. Les serveurs d’envoi pourraient choisir l’un ou l’autre chemin et créer un acheminement imprévisible et réparti entre les deux. Un basculement par étapes maintient l’ancien fournisseur actif en tant que compte, tandis que le DNS dirige les e-mails entrants vers un seul fournisseur prévu.

Après avoir enregistré la modification :

1. Interrogez les serveurs DNS faisant autorité et plusieurs résolveurs publics.
2. Vérifiez que l’assistant du fournisseur détecte l’état MX attendu.
3. Envoyez des tests externes vers une boîte mail personnelle, un alias et une adresse partagée.
4. Envoyez des tests sortants et examinez les résultats d’authentification.
5. Surveillez les files d’attente, les rebonds ainsi que les anciennes et les nouvelles boîtes de réception.

Effectuez les tests depuis plusieurs fournisseurs externes, car les résolveurs ne s’actualisent pas tous au même moment. Maintenez l’ancien service en mesure d’accepter les e-mails pendant toute cette période d’acheminement mixte.

Phase 6 : rapprocher les messages et surveiller l’authentification

Certains messages peuvent parvenir à l’ancien hébergeur après le basculement parce qu’un expéditeur a utilisé des données MX mises en cache. Consultez les anciennes boîtes de réception et effectuez une dernière importation incrémentielle ou un transfert manuel. Continuez jusqu’à ce qu’aucun nouveau message n’apparaisse au-delà de la fenêtre de migration définie par votre TTL et votre politique de risque.

Surveillez les rapports agrégés DMARC et les en-têtes des messages reçus. Vérifiez que chaque source autorisée est alignée avec le domaine From visible. Examinez les formulaires web, les systèmes de surveillance, les outils de facturation et les scanners, car ils font souvent partie des sources de messagerie oubliées.

Recherchez les échecs de destinataires. Si un alias oublié apparaît dans un rebond ou une ancienne boîte de réception, créez rapidement l’acheminement manquant et mettez l’inventaire à jour. Les alias non facturés à l’unité facilitent la recréation d’adresses liées à un usage précis, tandis que les contrôles anti-abus de l’espace de travail et la politique d’acheminement de l’administrateur restent applicables.

Rétablissez un TTL normal une fois que la configuration est restée stable. Supprimez l’ancien fournisseur de SPF après l’arrêt de tous les envois sortants depuis celui-ci. Retirez les anciens enregistrements DKIM de manière délibérée et maintenez les rapports DMARC actifs à mesure que le domaine évolue.

Revenir en arrière avec la même rigueur

Si le basculement révèle un problème sérieux, rétablissez les anciennes valeurs MX consignées et vérifiez-les dans le DNS faisant autorité. Les réponses mises en cache signifient que certains expéditeurs continueront à joindre le nouveau fournisseur pendant un certain temps ; maintenez donc les deux services opérationnels et conservez les messages reçus par chacun.

Corrigez le problème de destinataire, d’authentification ou de compte avant de planifier un nouveau basculement. Un retour en arrière est un outil normal de fiabilité lorsqu’il suit un plan écrit. Documentez la cause et ajoutez un contrôle préalable qui permettrait de la détecter la prochaine fois.

Liste de contrôle pour achever la migration

Considérez le transfert comme terminé lorsque les conditions suivantes sont remplies :

• Tous les destinataires connus reçoivent les e-mails dans la boîte mail ou le groupe de membres prévu.
• Les résultats SPF, DKIM et DMARC des e-mails sortants correspondent à la configuration planifiée.
• Les e-mails historiques et ceux de la période de chevauchement ont été rapprochés.
• Les membres peuvent se connecter, récupérer leurs comptes et utiliser les identités d’envoi prévues.
• L’ancien fournisseur a cessé de recevoir de nouveaux e-mails pendant la période d’observation choisie.
• Les anciens mécanismes d’envoi et les enregistrements DNS obsolètes ont été retirés.
• Les valeurs TTL normales et la surveillance continue du DNS sont en place.
• Une nouvelle exportation a été testée ou archivée conformément au plan de continuité du domaine.

La règle centrale est simple : préparez la propriété, l’authentification, les destinataires et l’historique pendant que le chemin MX actuel reste actif. Ne transférez l’acheminement entrant qu’une fois le nouveau service complet. Cette séquence transforme un changement risqué effectué en une seule fois en une tâche d’administration du domaine maîtrisée.