A DKIM no-key diagnosticering betyder generelt, at verifikatoren ikke kunne finde den nødvendige bekræftelsesnøgle til en signatur. Det nyttige udgangspunkt er beskedens faktiske vælger og signering af domæne. At gætte en fælles vælger eller forespørge på det synlige From-domæne kan føre til et helt præcist svar på det forkerte DNS spørgsmål.
Bevar den oprindelige modtagne meddelelse og dens pålidelige godkendelsesresultat. Registrer observationstiden, da nøglen kan være ændret siden levering. Undersøg derefter den nøjagtige signatur, der er nævnt i resultatet; beskeder kan bære flere signaturer med forskellige opslagsnavne og -resultater.
Udled det nøjagtige DNS spørgsmål
Læs s og d fra DKIM-Signature. Med s=campaign7 og d=mailer.example, er opslaget campaign7._domainkey.mailer.example . Vælgeren er ikke et universelt udbydernavn, og signeringsdomænet behøver ikke at være det samme som det synlige Fra-domæne. RFC 6376 §3.1, RFC 6376 §3.5 og RFC 6376 §3.6.2.1 definere disse elementer.
Forespørg på navnet og posttypen, der forventes af den understøttede konfiguration. Under RFC 1034 §3.6.2, hvis tjenesten bruger en CNAME, følg den til verifikationsdataene og indfang det mellemliggende mål. Tjek for DNS-editor fejl, såsom et suffiks tilføjet to gange, en rekord offentliggjort i den forkerte zone eller en vælger kopieret fra en anden lejer.
Skelne fravær fra utilgængelighed
Et negativt svar, der ikke etablerer en tilsvarende nøgle, er forskellig fra en forespørgsel, der timeout. RFC 6376 §6.1.2 kræver PERMFAIL for en fraværende nøgle og tillader TEMPFAIL, når nøgleforespørgslen ikke svarer. Disse er verifikatorbehandlingsresultater; den nøjagtige viste etiket i et diagnostisk produkt kan variere.
Indfang DNS -svarkoden og svar, ikke kun en rød indikator. Sammenlign autoritative svar med det rekursive synspunkt, der er relevant for den svigtende modtager, hvor beviser er tilgængelige. Et vellykket opslag fra din bærbare computer senere beviser ikke, at nøglen var tilgængelig på det oprindelige evalueringstidspunkt.
Brug et tregrenet diagnostisk træ
For det første, hvis meddelelsen ikke indeholder nogen DKIM-Signature , skal du undersøge signeringskonfigurationen i stedet for et vælgeropslag. Der er ingen meddelelsesspecifikke s og d-par at hente. For det andet, hvis der findes en signatur, og dens nøgle er fraværende, skal du kontrollere publikations-, migrations- og pensionshistorikken. For det tredje, hvis nøglen er tilgængelig, men den kropshash eller signatur mislykkes, flyt til indhold, nøglematch eller kryptografiske kontroller.
Illustrativt tilfælde: en besked navngiver vælgeren old7, mens DNS kun indeholder new8. Udgivelse af new8 korrekt kan ikke bekræfte den gamle7 signatur. Hvis old7 med vilje blev trukket tilbage, kan fejlen forventes for forsinket eller arkiveret mail. Hvis old7 ved et uheld blev fjernet, og dens nøgle stadig er troværdig, kan gendannelse af de korrekte verifikationsdata være en passende godkendt reparation. Disse er diagnostiske scenarier, ikke udførte lejertest.
Kontroller nøglens gyldighed efter hentning
At finde et TXT svar afslutter ikke verifikationen; RFC 6376 §3.6.1 og RFC 6376 §6.1.2 definere nøglesyntaks og validering. En forkert udformet nøgle, en tom p-værdi, der indikerer tilbagekaldelse, eller inkompatibelt nøglemateriale er ikke en brugbar bekræftelsesnøgle. Under RFC 4592 §3.3.3, et jokertegn TXT post kan også producere et svar, der er irrelevant for DKIM . Ommærk ikke alle ubrugelige svar som en manglende vælger.
Brug udbyderens nøjagtige aktuelle registreringsværdi eller en kendt, autoriseret konfigurationsbackup. Generer aldrig en tilfældig offentlig nøgle for at tilfredsstille opslaget: den vil ikke matche den private nøgle, der skabte signaturen. Undgå at erstatte poster ved et delt opslag uden at gennemgå andre afsendere og forsinkede beskeder.
Bekræft rettelsen med nye beviser
Efter en autoriseret reparation skal du inspicere DNS og sende ny kontrolleret post gennem den berørte rute. Bevar det modtagne resultat, signaturidentitet og justering vurdering. Hvis den oprindelige prøve nu bekræfter, skal du registrere det som en senere genkontrol i stedet for at omskrive dets historiske modtagerresultat.
Luk hændelsen med det manglende navn, årsag, genoprettet afhængighed og forebyggelsesforanstaltning. En vælgeropgørelse og en pensionstjekliste reducerer gentagelse mere effektivt end at tilføje poster gentagne gange, når en checker rapporterer rødt.
Bevar en afgrænset konklusion
For old7 versus new8, bevar den gamle signaturs opslag i stedet for at kopiere den aktuelle vælger til hændelsesposten. En fraværende old7-tast, en timeout og en tom-p tilbagekaldelse er forskellige observationer. En senere succesfuld genkontrol skal holde sin senere tid. Ingen reparation eller signaturverifikation blev udført for undervisningsscenariet.