[Jawaban cepat]
DKIM (DomainKeys Identified Mail) menambahkan tanda tangan kriptografi ke setiap email. Server pengirim menandatangani dengan kunci pribadi, dan penerima memverifikasinya menggunakan kunci publik yang diterbitkan dalam DNS di selector._domainkey.yourdomain.com . Ini membuktikan pesan tersebut berasal dari domain Anda dan tidak diubah ( RFC 6376 ).
Fakta-fakta penting
- ›Kunci publik dipublikasikan sebagai data TXT (atau CNAME ) di <selector>. _domainkey .<domain>.
- ›Gunakan kunci RSA minimal 2048 bit; Kunci 1024-bit dianggap lemah.
- ›Sebuah domain dapat memiliki banyak penyeleksi, satu penyeleksi untuk setiap layanan pengiriman.
- ›Domain d= pada tanda tangan harus sejajar dengan From untuk DMARC .
- ›Putar kunci secara berkala dengan menerbitkan pemilih baru.
Ditinjau oleh tim peneliti EmailAuth
DKIM (DomainKeys Identified Mail) adalah standar autentikasi email yang melampirkan tanda tangan kriptografi ke setiap pesan yang dikirimkan domain. Server penerima menggunakan kunci publik yang dipublikasikan di DNS Anda untuk memverifikasi tanda tangan tersebut. Jika berhasil, penerima akan mengetahui bahwa pesan tersebut telah diotorisasi oleh domain Anda dan bagian penting dari pesan tersebut tidak diubah selama proses pengiriman. DKIM bekerja dengan SPF dan DMARC untuk membuktikan email Anda asli dan mencegah pesan palsu masuk ke kotak masuk.
Cara kerja DKIM
DKIM menggunakan pasangan kunci publik dan privat. Server pengirim Anda menyimpan kunci pribadi dan menandatangani setiap pesan keluar dengannya. Kunci publik yang cocok berada dalam data TXT DNS di lokasi yang dibuat dari pemilih Anda, seperti selector1._domainkey.example.com . Saat penerima menerima pesan Anda, ia membaca pemilih dan domain dari header DKIM-Signature , mengambil kunci publik dari DNS , dan mengonfirmasi tanda tangan. Tanda tangan yang valid berarti email tersebut ditandatangani oleh pihak yang memegang kunci pribadi Anda dan konten yang ditandatangani tidak diubah selama transit.
- Kunci pribadi: disimpan di platform pengiriman Anda dan tidak pernah dibagikan; itu menghasilkan tanda tangan.
- Kunci publik: diterbitkan dalam DNS pada pemilih sehingga penerima mana pun dapat memverifikasi.
- Selector: label yang memungkinkan Anda menjalankan beberapa kunci sekaligus, misalnya satu kunci per layanan pengiriman.
- Tanda Tangan: header DKIM-Signature ditambahkan ke isi pesan dan pilih header.
Apa yang tercakup dalam tanda tangan
DKIM menandatangani hash isi pesan ditambah serangkaian header yang dipilih, biasanya Dari, Subjek, Tanggal, dan Ke. Jika ada perubahan bidang yang ditandatangani setelah pengiriman, hash tidak lagi cocok dan verifikasi gagal. Inilah sebabnya DKIM mendeteksi adanya gangguan. Itu tidak mengenkripsi pesan; itu membuktikan asal dan integritas, bukan kerahasiaan.
Penyelarasan DKIM dan DMARC
Pengesahan tanda tangan DKIM hanyalah setengah dari cerita DMARC . DMARC juga memeriksa penyelarasan, artinya domain di tanda tangan DKIM (tag d=) harus cocok dengan domain di alamat Dari yang terlihat. Saat domain penandatanganan dan domain Dari sejajar, DKIM selaras dan dapat memenuhi DMARC . SPF menawarkan jalur kedua menuju penyelarasan, sehingga sebagian besar pengirim mengonfigurasi keduanya. Menyelaraskan setidaknya satu hal akan memungkinkan Anda mengalihkan DMARC dari pemantauan ke penegakan hukum.
Seperti apa catatan DKIM
selector1._domainkey.example.com DALAM TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ..." dengan v adalah versinya, k adalah jenis kuncinya, dan p adalah kunci publiknya.
Mengapa DKIM penting saat ini
Pada tahun 2024 Google dan Yahoo mulai mewajibkan pengirim massal untuk mengautentikasi dengan SPF , DKIM , dan DMARC . Surat yang gagal dalam pemeriksaan ini dapat dibatasi atau ditolak. DKIM juga mampu bertahan dalam penerusan lebih baik dibandingkan SPF , karena pesan yang diteruskan tetap memiliki tanda tangannya meskipun IP pengirimnya berubah, selama konten yang ditandatangani tetap utuh. DKIM yang kuat kini menjadi dasar untuk menjangkau kotak masuk dalam skala besar.
Menjaga DKIM tetap sehat
Gunakan kunci RSA 2048-bit jika DNS dan platform Anda mengizinkannya, karena kunci 1024-bit lebih lemah dan beberapa penerima memperlakukannya dengan curiga. Putar tombol sesuai jadwal, dan matikan pemilih yang tidak lagi Anda gunakan. EmailAuth memantau pemilih aktif Anda, menandai kunci yang lemah atau usang, dan menunjukkan apakah DKIM selaras untuk DMARC . Pemindaian domain gratis melaporkan penyeleksi aktif, kekuatan kunci, dan penyelarasan Anda dalam satu proses sehingga Anda dapat memperbaiki kesenjangan sebelum penerima melakukannya.
Pertanyaan yang sering diajukan
Apakah DKIM mengenkripsi email saya?
Tidak. DKIM menambahkan tanda tangan kriptografi yang membuktikan bahwa pesan berasal dari domain Anda dan tidak diubah saat transit. Ini melindungi asal dan integritas, bukan kerahasiaan. Isi pesan itu sendiri masih dapat dibaca oleh siapa saja yang menyadapnya kecuali Anda menggunakan enkripsi transport terpisah.
Apa itu pemilih DKIM ?
Pemilih adalah label yang menunjuk ke kunci publik tertentu di DNS Anda. Ini memungkinkan Anda memublikasikan beberapa kunci DKIM sekaligus, misalnya kunci yang berbeda untuk setiap layanan pengirim. Penerima membaca pemilih dari header DKIM-Signature dan menggunakannya untuk menemukan kunci publik yang tepat di selector._domainkey.yourdomain.com .
Apakah saya memerlukan DKIM jika saya sudah memiliki SPF ?
Ya. SPF dan DKIM memeriksa hal yang berbeda, dan DMARC dapat menyelaraskan keduanya. DKIM bertahan lebih baik dibandingkan SPF , sehingga memiliki keduanya memberi Anda jalur yang lebih kuat menuju penyelarasan DMARC . Google dan Yahoo kini mengharapkan pengirim massal menggunakan SPF , DKIM , dan DMARC secara bersamaan.
Seberapa sering saya harus memutar kunci DKIM ?
Praktik yang umum dilakukan adalah merotasi kunci setiap enam hingga dua belas bulan, dan lebih cepat jika Anda mencurigai ada kunci yang terekspos. Rotasi membatasi kerusakan dari kunci pribadi yang bocor. EmailAuth menandai kunci yang sudah usang sehingga Anda tahu kapan pemilih terlambat untuk disegarkan.
Apa itu DKIM di email?
Ini adalah tanda tangan digital yang ditambahkan ke header pesan yang memungkinkan penerima memverifikasi domain pengirim dan bahwa konten tidak diubah saat transit.
Bagaimana cara kerja DKIM ?
Pengirim melakukan hash pada header dan isi yang dipilih, menandatangani hash dengan kunci pribadi, dan menambahkan header DKIM-Signature . Penerima mengambil kunci publik dari DNS menggunakan pemilih dan memverifikasi tanda tangan.
Bisakah Anda memiliki beberapa catatan DKIM ?
Ya, satu per pemilih. Setiap layanan pengirim biasanya mendapatkan pemilih dan kuncinya sendiri.
Bagaimana cara mengatur DKIM ?
Aktifkan DKIM di setiap layanan pengiriman, publikasikan data TXT atau CNAME yang diberikan kepada Anda, lalu verifikasi dengan pencarian DKIM .
[ DKIM memandu ]
Asal perusahaan
Mengapa lembaga keuangan dan pemerintah terkemuka menghentikan dasbor keamanan email mereka.
Platform autentikasi email tradisional menjual dasbor kepada Anda dan meminta teknisi Anda melakukan pekerjaannya. Di lingkungan berisiko tinggi, pengawasan manual berarti penegakan yang tertunda, penyimpangan konfigurasi, dan domain bayangan yang tidak dipantau.
EmailAuth adalah platform asal email agen. Agen kami menegakkan p=reject, jaga agar pengirim pihak ketiga tetap selaras dan pindahkan domain Anda ke kapasitas penuh RFC 9989 kepatuhan, standar DMARC baru, dengan kemampuan audit yang dapat dilakukan secara langsung oleh manusia.
SaaS · Penyewaan khusus · On-prem dengan celah udara · Enkripsi BYOK