[hurtigt svar]
DKIM (DomainKeys Identified Mail) tilføjer en kryptografisk signatur til hver e-mail. Afsenderserveren signerer med en privat nøgle, og modtagere bekræfter den ved hjælp af en offentlig nøgle offentliggjort i DNS på selector._domainkey.yourdomain.com . Det beviser, at beskeden kom fra dit domæne og ikke blev ændret ( RFC 6376 ).
Nøglefakta
- ›Offentlig nøgle udgivet som en TXT (eller CNAME ) post ved <selector>. _domainkey .<domæne>.
- ›Brug RSA-nøgler på mindst 2048 bit; 1024-bit nøgler betragtes som svage.
- ›Et domæne kan have mange vælgere, én pr. afsendende tjeneste.
- ›d=-domænet i signaturen skal justeres med From for DMARC .
- ›Roter taster med jævne mellemrum ved at udgive en ny vælger.
Gennemgået af EmailAuth -forskningsteamet
DKIM (DomainKeys Identified Mail) er en e-mail-godkendelsesstandard, der vedhæfter en kryptografisk signatur til hver meddelelse, et domæne sender. Den modtagende server bruger en offentlig nøgle udgivet i din DNS til at bekræfte denne signatur. Hvis den tjekker ud, ved modtageren, at beskeden blev godkendt af dit domæne, og at vigtige dele af den ikke blev ændret undervejs. DKIM arbejder med SPF og DMARC for at bevise, at din mail er ægte og for at holde forfalskede beskeder ude af indbakker.
Sådan fungerer DKIM
DKIM bruger et offentligt og et privat nøglepar. Din sendeserver har den private nøgle og signerer hver udgående besked med den. Den matchende offentlige nøgle findes i en DNS TXT post på et sted, der er bygget fra din vælger, såsom selector1._domainkey.example.com . Når en modtager modtager din besked, læser den vælgeren og domænet fra DKIM-Signature headeren, henter den offentlige nøgle fra DNS og bekræfter signaturen. En gyldig signatur betyder, at mailen blev underskrevet af en part, der har din private nøgle, og at det signerede indhold ikke blev ændret under forsendelsen.
- Privat nøgle: gemt på din sendeplatform og aldrig delt; det producerer signaturen.
- Offentlig nøgle: offentliggjort i DNS ved vælgeren, så enhver modtager kan bekræfte.
- Vælger: en etiket, der lader dig køre flere nøgler på én gang, f.eks. én pr. sendetjeneste.
- Signatur: DKIM-Signature headeren tilføjet til meddelelsesteksten og vælg overskrifter.
Hvad signaturen dækker over
DKIM signerer en hash af meddelelsesteksten plus et udvalgt sæt overskrifter, almindeligvis Fra, Emne, Dato og Til. Hvis et underskrevet felt ændres efter afsendelse, matcher hashen ikke længere, og verifikationen mislykkes. Det er derfor, DKIM registrerer manipulation. Den krypterer ikke beskeden; det beviser oprindelse og integritet, ikke fortrolighed.
DKIM alignment og DMARC
En forbigående DKIM -signatur er kun halvdelen af historien for DMARC . DMARC kontrollerer også justering, hvilket betyder, at domænet i DKIM -signaturen (d=-tagget) skal matche domænet i den synlige Fra-adresse. Når signeringsdomænet og From-domænet er på linje, er DKIM justeret og kan opfylde DMARC . SPF tilbyder en anden vej til justering, så de fleste afsendere konfigurerer begge. At få mindst én justeret er det, der lader dig flytte DMARC fra overvågning til håndhævelse.
Sådan ser en DKIM rekord ud
selector1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ..." hvor v er versionen, k er nøgletypen, og p er den offentlige nøgle.
Hvorfor DKIM betyder noget nu
I 2024 begyndte Google og Yahoo at kræve bulk-afsendere for at godkende med SPF , DKIM og DMARC . Mail, der ikke består disse kontroller, kan blive droslet eller afvist. DKIM overlever også videresendelse bedre end SPF , fordi en videresendt besked beholder sin signatur, selv når den afsendende IP ændres, så længe det signerede indhold forbliver intakt. Stærk DKIM er nu en baseline for at nå indbakken i stor skala.
Holde DKIM sundt
Brug 2048-bit RSA-nøgler, hvor din DNS og platform tillader det, da 1024-bit nøgler er svagere, og nogle modtagere behandler dem med mistænksomhed. Drej tasterne på en tidsplan, og træk vælgere, du ikke længere bruger. EmailAuth overvåger dine aktive vælgere, markerer svage eller forældede nøgler og viser, om DKIM er justeret til DMARC . En gratis domænescanning rapporterer dine aktive vælgere, nøglestyrke og justering i én omgang, så du kan rette huller, før modtagerne gør det.
Ofte stillede spørgsmål
Krypterer DKIM min e-mail?
Nej. DKIM tilføjer en kryptografisk signatur, der beviser, at beskeden kom fra dit domæne og ikke blev ændret under transit. Det beskytter oprindelse og integritet, ikke fortrolighed. Selve beskedteksten er stadig læsbar for alle, der opsnapper den, medmindre du bruger separat transportkryptering.
Hvad er en DKIM vælger?
En vælger er en etiket, der peger på en bestemt offentlig nøgle i din DNS . Det giver dig mulighed for at publicere flere DKIM nøgler på én gang, for eksempel en anden for hver afsendelsestjeneste. Modtageren læser vælgeren fra DKIM-Signature -headeren og bruger den til at finde den rigtige offentlige nøgle på selector._domainkey.yourdomain.com .
Har jeg brug for DKIM , hvis jeg allerede har SPF ?
Ja. SPF og DKIM tjekker forskellige ting, og DMARC kan justere på begge. DKIM overlever videresendelse bedre end SPF , så at have begge giver dig en stærkere vej til DMARC justering. Google og Yahoo forventer nu, at masseafsendere bruger SPF , DKIM og DMARC sammen.
Hvor ofte skal jeg rotere DKIM nøgler?
En almindelig praksis er at rotere nøgler hver sjette til tolvte måned, og hurtigere, hvis du har mistanke om, at en nøgle er blevet afsløret. Rotation begrænser skaden fra en lækket privat nøgle. EmailAuth markerer forældede nøgler, så du ved, hvornår en vælger er forsinket til en opdatering.
Hvad er DKIM i e-mail?
Det er en digital signatur tilføjet til meddelelsesheadere, der lader modtagere bekræfte det afsendende domæne, og at indholdet ikke blev ændret under transit.
Hvordan fungerer DKIM ?
Afsenderen hashes valgte headers og brødteksten, signerer hashen med en privat nøgle og tilføjer en DKIM-Signature header. Modtageren henter den offentlige nøgle fra DNS ved hjælp af vælgeren og verificerer signaturen.
Kan du have flere DKIM poster?
Ja, en pr. vælger. Hver afsendende tjeneste får normalt sin egen vælger og nøgle.
Hvordan sætter jeg DKIM op?
Aktiver DKIM i hver afsendelsestjeneste, udgiv den TXT eller CNAME post, den giver dig, og bekræft derefter med et DKIM opslag.
[ DKIM guide]
Virksomhedens herkomst
Hvorfor top finansielle institutioner og regeringer pensionerede deres e-mailsikkerhedsdashboards.
Traditionelle e-mail-godkendelsesplatforme sælger dig et dashboard og beder dine ingeniører om at gøre arbejdet. I miljøer med høj indsats betyder manuel overvågning forsinket håndhævelse, konfigurationsdrift og uovervågede skyggedomæner.
EmailAuth er den agentiske e-mail-herkomstplatform. Vores agenter håndhæver p=reject, hold tredjepartsafsendere på linje og flyt dine domæner til fuld RFC 9989 compliance, den nye DMARC standard, med menneskelig auditabilitet.
SaaS · Dedikeret lejemål · Air-gapped on-prem · BYOK-kryptering