[hurtigt svar]
En DKIM signatur er DKIM-Signature -headeren, der tilføjes til en e-mail. Det indeholder signeringsdomænet ( d=), vælgeren ( s=), algoritmen ( a=), signerede overskrifter ( h=), body-hash ( bh=) og selve signaturen ( b=).
Nøglefakta
- ›d= must align with the From domain for DMARC.
- ›bh= is a hash of the body; any change after signing breaks it.
- ›Videresendelse bevarer normalt DKIM i modsætning til SPF .
Gennemgået af EmailAuth -forskningsteamet
En DKIM-Signature er en header, som din sendeserver tilføjer til hver besked. Den bærer en kryptografisk signatur over meddelelsesteksten og et udvalgt sæt overskrifter, plus den information, som en modtager har brug for for at bekræfte den: hvilket domæne, der signerede mailen, hvilken vælger der har den offentlige nøgle, og hvilken algoritme der blev brugt. Modtageren læser denne header, henter din offentlige nøgle fra DNS og bekræfter signaturen. Et pass betyder, at mailen blev godkendt af dit domæne og ikke blev ændret under forsendelsen.
Taggene inde i en DKIM-Signature
Overskriften er et sæt tag=value par adskilt af semikolon. Hvert mærke fortæller modtageren noget, den skal bruge for at bekræfte beskeden. De vigtigste er disse.
- v: DKIM versionen, i øjeblikket 1.
- a: signeringsalgoritmen, for eksempel rsa-sha256.
- d: signeringsdomænet, det domæne, der tager ansvar for meddelelsen.
- s: vælgeren, som peger på den offentlige nøgle i DNS .
- bh: hashen af meddelelsesteksten.
- b: den faktiske kryptografiske signatur over overskrifterne og brødteksthashen.
- h: listen over overskriftsfelter, der blev underskrevet, såsom from:subject:date:to.
Eksempel DKIM-Signature header
v=1; a=rsa-sha256; d=example.com; s=s1; h=from:subject:date:to; bh=frcCV1k9oG9...; b=dzdVyOfAKCdLXd...
Sådan fungerer verifikation
Når en besked ankommer, læser modtageren d=-domænet og s=-vælgeren og slår derefter den offentlige nøgle op på s. _domainkey.d , for eksempel s1._domainkey.example.com . Den genberegner body-hashen og sammenligner den med bh-tagget, og bruger derefter den offentlige nøgle til at kontrollere b-signaturen mod de signerede overskrifter, der er angivet i h. Hvis begge matcher, består DKIM . Hvis brødteksten eller en hvilken som helst signeret overskrift ændres efter afsendelse, adskiller hasherne sig, og verifikationen mislykkes, hvilket er hvordan DKIM fanger manipulation.
H- og bh-mærkernes rolle
Bh-tagget er en hash af brødteksten, så enhver ændring af meddelelsesindholdet bryder den. H-tagget viser, hvilke overskrifter der er beskyttet, og b-signaturen dækker præcis disse overskrifter. Det er vigtigt at underskrive fra, da det er den adresse, modtagerne ser. Underskrivere forlader ofte kroppens hash-tolerante over for bagende blanktegn, så almindelig posthåndtering ikke bryder signaturen, mens de stadig fanger rigtige redigeringer.
Signatur, justering og DMARC
En gyldig DKIM signatur er nødvendig, men ikke tilstrækkelig til DMARC . DMARC kontrollerer også, at d=-domænet stemmer overens med dit synlige From-domæne. Når de matcher, er DKIM tilpasset og kan opfylde DMARC alene. SPF giver en anden justeringssti. Fordi DKIM signaturen rejser med beskeden, overlever den ofte videresendelse, hvor SPF går i stykker, hvilket gør DKIM justering værdifuld for at nå indbakken.
Holder øje med dine underskrifter over tid
Signaturer kan stille og roligt gå i stykker, når en leverandør skifter underskrift, en vælger trækkes tilbage, eller en nøgle bliver forældet. EmailAuth læser DKIM-Signature på ægte post, overvåger dine vælgere og markerer svage eller udløbne nøgler, før modtagere afviser dine beskeder. En gratis domænescanning rapporterer dine aktive vælgere, nøglestyrke og om DKIM tilpasser sig DMARC , så du kan bekræfte, at hver signeringssti er sund.
Ofte stillede spørgsmål
Hvad betyder b-tagget i en DKIM-Signature ?
B-tagget indeholder den faktiske kryptografiske signatur, beregnet over de signerede overskrifter og body-hashen ved hjælp af din private nøgle. Modtageren bekræfter det med den offentlige nøgle fra DNS . Hvis b-værdien ikke tjekker ud, fejler DKIM , og meddelelsen behandles som usigneret eller mistænkelig.
Hvad er forskellen mellem bh og b tags?
Bh-tagget er en hash af kun meddelelsesteksten, så enhver ændring af indholdet bryder den. B-tagget er signaturen over de valgte overskrifter plus den tekst-hash. En modtager tjekker først bh, verificerer derefter b, og begge skal bestå for at DKIM lykkes.
Hvilke overskrifter signerer DKIM ?
H-tagget viser de signerede overskrifter, almindeligvis Fra, Emne, Dato og Til, selvom det nøjagtige sæt er valgt af underskriveren. Fra er det vigtigste, fordi det er den adresse, modtagerne ser. Enhver ændring af en signeret overskrift efter afsendelse vil afbryde bekræftelsen.
Hvorfor passerer DKIM nogle gange stadig efter videresendelse?
DKIM-Signature bevæger sig inde i beskeden, så en videresendt e-mail beholder sin signatur, selv når den afsendende IP ændres. Så længe den underskrevne brødtekst og overskrifter forbliver intakte, passerer bekræftelsen stadig. Dette er grunden til, at DKIM overlever videresendelse bedre end SPF , som går i stykker, når afsenderserveren ændres.
Hvorfor fejler DKIM ?
Almindelige årsager er en manglende eller forkert indtastet offentlig nøgle, en vælgeruoverensstemmelse eller en mailingliste eller sikkerhedsgateway, der ændrer meddelelsen, efter den blev underskrevet.
[ DKIM guide]
Virksomhedens herkomst
Hvorfor top finansielle institutioner og regeringer pensionerede deres e-mailsikkerhedsdashboards.
Traditionelle e-mail-godkendelsesplatforme sælger dig et dashboard og beder dine ingeniører om at gøre arbejdet. I miljøer med høj indsats betyder manuel overvågning forsinket håndhævelse, konfigurationsdrift og uovervågede skyggedomæner.
EmailAuth er den agentiske e-mail-herkomstplatform. Vores agenter håndhæver p=reject, hold tredjepartsafsendere på linje og flyt dine domæner til fuld RFC 9989 compliance, den nye DMARC standard, med menneskelig auditabilitet.
SaaS · Dedikeret lejemål · Air-gapped on-prem · BYOK-kryptering