What does the b tag in a DKIM-Signature mean?

The b tag holds the actual cryptographic signature, computed over the signed headers and the body hash using your private key. The receiver verifies it with the public key from DNS. If the b value does not check out, DKIM fails and the message is treated as unsigned or suspect.

What is the difference between the bh and b tags?

The bh tag is a hash of just the message body, so any change to the content breaks it. The b tag is the signature over the selected headers plus that body hash. A receiver checks bh first, then verifies b, and both must pass for DKIM to succeed.

Which headers does DKIM sign?

The h tag lists the signed headers, commonly From, Subject, Date, and To, though the exact set is chosen by the signer. From is the most important because it is the address recipients see. Any change to a signed header after sending will break verification.

Why does DKIM sometimes still pass after forwarding?

The DKIM-Signature travels inside the message, so a forwarded email keeps its signature even when the sending IP changes. As long as the signed body and headers stay intact, verification still passes. This is why DKIM survives forwarding better than SPF, which breaks when the sending server changes.

Common causes are a missing or mistyped public key, a selector mismatch, or a mailing list or security gateway changing the message after it was signed.

ما هو توقيع DKIM ؟

[إجابة سريعة]

توقيع DKIM هو رأس DKIM-Signature المضاف إلى البريد الإلكتروني. يحتوي على مجال التوقيع ( d=), والمحدد ( s=), والخوارزمية ( a=), والرؤوس الموقعة ( h=), وتجزئة النص ( bh=) والتوقيع نفسه ( b=).

حقائق أساسية

›d= must align with the From domain for DMARC.
›bh= is a hash of the body; any change after signing breaks it.
›عادةً ما تحافظ عملية إعادة التوجيه على DKIM ، على عكس نظام التعرف على SPF .

تمت المراجعة بواسطة فريق بحث EmailAuth

DKIM-Signature هو رأس يضيفه خادم الإرسال الخاص بك إلى كل رسالة. فهو يحمل توقيعًا مشفرًا فوق نص الرسالة ومجموعة مختارة من الرؤوس، بالإضافة إلى المعلومات التي يحتاجها المتلقي للتحقق من ذلك: أي مجال قام بالتوقيع على البريد، وأي محدد يحمل المفتاح العام، وأي خوارزمية تم استخدامها. يقرأ المتلقي هذا الرأس، ويجلب مفتاحك العام من DNS ، ويؤكد التوقيع. يعني المرور أن البريد تم ترخيصه بواسطة نطاقك ولم يتم تعديله أثناء النقل.

العلامات الموجودة داخل DKIM-Signature

الرأس عبارة عن مجموعة من أزواج tag=value مفصولة بفواصل منقوطة. تخبر كل علامة المتلقي بشيء يحتاجه للتحقق من الرسالة. أهمها هذه.

v: إصدار DKIM ، حاليًا 1.
ج: خوارزمية التوقيع، على سبيل المثال rsa-sha256.
د: مجال التوقيع، وهو المجال الذي يتحمل مسؤولية الرسالة.
s: المحدد الذي يشير إلى المفتاح العام في DNS .
bh: تجزئة نص الرسالة.
ب: توقيع التشفير الفعلي فوق الرؤوس وتجزئة النص.
h: قائمة حقول الرأس التي تم توقيعها، مثل من:الموضوع:التاريخ:إلى.

مثال لرأس DKIM-Signature

v=1; a=rsa-sha256; d=example.com; s=s1; h=from:subject:date:to; bh=frcCV1k9oG9...; b=dzdVyOfAKCdLXd...

كيف يعمل التحقق

عندما تصل رسالة، يقرأ المتلقي المجال d= والمحدد s=، ثم يبحث عن المفتاح العام في s. _domainkey.d ، على سبيل المثال s1._domainkey.example.com . فهو يعيد حساب تجزئة النص ويقارنه بالعلامة bh، ثم يستخدم المفتاح العام للتحقق من التوقيع b مقابل الرؤوس الموقعة المدرجة في h. إذا تطابق كلاهما، فسيتم تمرير DKIM . إذا تغير النص أو أي رأس موقع بعد الإرسال، فستختلف التجزئات ويفشل التحقق، وهذه هي الطريقة التي يكتشف بها DKIM العبث.

دور العلامات h و bh

تعد علامة bh بمثابة تجزئة للنص الأساسي، لذا فإن أي تغيير في محتوى الرسالة يؤدي إلى كسرها. تسرد العلامة h الرؤوس المحمية، ويغطي التوقيع b تلك الرؤوس بالضبط. يعد تسجيل الدخول أمرًا ضروريًا، نظرًا لأن هذا هو العنوان الذي يراه المستلمون. غالبًا ما يترك الموقعون تجزئة النص متسامحة مع المسافات البيضاء الزائدة، لذا فإن التعامل العادي مع البريد لا يؤدي إلى كسر التوقيع، مع الاستمرار في التقاط التعديلات الحقيقية.

التوقيع والمحاذاة و DMARC

يعد توقيع DKIM الصالح ضروريًا ولكنه غير كافٍ لـ DMARC . يتحقق DMARC أيضًا من توافق النطاق d= مع المجال المرئي الخاص بك. عندما يتطابقان، تتم محاذاة DKIM ويمكن أن تلبي DMARC من تلقاء نفسها. يوفر SPF مسار محاذاة ثانيًا. نظرًا لأن توقيع DKIM ينتقل مع الرسالة، فإنه غالبًا ما يستمر في إعادة التوجيه حيث ينقطع SPF ، مما يجعل محاذاة DKIM ذات قيمة للوصول إلى البريد الوارد.

مشاهدة التوقيعات الخاصة بك مع مرور الوقت

يمكن أن تنقطع التوقيعات بهدوء عندما يقوم البائع بتغيير التوقيع، أو تقاعد المحدد، أو يصبح المفتاح قديمًا. يقرأ EmailAuth DKIM-Signature على البريد الحقيقي، ويراقب محدداتك، ويضع علامة على المفاتيح الضعيفة أو منتهية الصلاحية قبل أن يرفض المستلمون رسائلك. يقوم فحص النطاق المجاني بالإبلاغ عن محدداتك النشطة وقوة المفاتيح وما إذا كان DKIM متوافقًا مع DMARC ، حتى تتمكن من التأكد من صحة كل مسار توقيع.

الأسئلة المتداولة

ماذا تعني العلامة b في DKIM-Signature ؟

تحمل العلامة b توقيع التشفير الفعلي، المحسوب على الرؤوس الموقعة وتجزئة النص باستخدام مفتاحك الخاص. يتحقق المتلقي من ذلك باستخدام المفتاح العام من DNS . إذا لم يتم سحب القيمة b، فسيفشل DKIM ويتم التعامل مع الرسالة على أنها غير موقعة أو مشبوهة.

ما الفرق بين علامتي bh وb؟

علامة bh عبارة عن تجزئة لنص الرسالة فقط، لذا فإن أي تغيير في المحتوى يؤدي إلى كسرها. العلامة b هي التوقيع الموجود فوق الرؤوس المحددة بالإضافة إلى تجزئة النص. يتحقق جهاز الاستقبال من bh أولاً، ثم يتحقق من b، ويجب أن يمر كلاهما حتى ينجح DKIM .

ما هي الرؤوس التي يوقعها DKIM ؟

تسرد العلامة h الرؤوس الموقعة، عادة من، والموضوع، والتاريخ، وإلى، على الرغم من أن المجموعة المحددة يتم اختيارها بواسطة الموقع. "من" هو الأكثر أهمية لأنه هو العنوان الذي يراه المستلمون. سيؤدي أي تغيير في الرأس الموقع بعد الإرسال إلى تعطيل عملية التحقق.

لماذا يستمر DKIM أحيانًا في المرور بعد إعادة التوجيه؟

ينتقل DKIM-Signature داخل الرسالة، لذا تحتفظ رسالة البريد الإلكتروني المُعاد توجيهها بتوقيعها حتى عندما يتغير عنوان IP للإرسال. وطالما بقي النص والعناوين الموقعة سليمة، فإن عملية التحقق ستستمر. وهذا هو السبب وراء نجاح DKIM في إعادة التوجيه بشكل أفضل من نظام التعرف على هوية المرسل SPF ، والذي ينقطع عندما يتغير خادم الإرسال.

لماذا يفشل DKIM ؟

الأسباب الشائعة هي وجود مفتاح عام مفقود أو مكتوب بشكل خاطئ، أو عدم تطابق المحدد، أو تغيير القائمة البريدية أو بوابة الأمان للرسالة بعد توقيعها.

[ DKIM مرشد ]

DKIM (البريد المحدد بمفاتيح المجال)دليل إعداد DKIM بحث DKIMأداة مجانية مولد سجل DKIMأداة مجانية

جزء من قاعدة المعرفةDKIM · 48 أدلة

مصدر المؤسسة

لماذا كبار المؤسسات المالية والحكومات تقاعدوا من لوحات معلومات أمان البريد الإلكتروني الخاصة بهم.

تبيع لك منصات مصادقة البريد الإلكتروني التقليدية لوحة تحكم وتطلب من مهندسيك القيام بهذا العمل. في البيئات عالية المخاطر، تعني المراقبة اليدوية تأخير التنفيذ، والانحراف في التكوين، ونطاقات الظل غير الخاضعة للمراقبة.

EmailAuth هي منصة مصدر البريد الإلكتروني الوكيل. وكلاؤنا ينفذون p=reject، حافظ على محاذاة المرسلين الخارجيين وانقل نطاقاتك إلى كاملها RFC 9989 الامتثال، وهو معيار DMARC الجديد، مع إمكانية التدقيق البشري في الحلقة.

الحكومات المؤسسات الكبيرة المؤسسات المالية من المستوى الأول

SaaS · إيجار مخصص · Air-gapped محليًا · تشفير BYOK