A DKIM penyiapan selesai ketika layanan menandatangani email yang dimaksud dan penerima dapat memvalidasinya. Status DNS hijau saja tidak menentukan hasil apa pun. Pilih TXT atau CNAME dari model manajemen kunci yang didukung penyedia, daripada memperlakukannya sebagai cara yang dapat dipertukarkan untuk menempelkan kunci.
Identifikasi siapa yang mengelola kunci
Diterbitkan secara langsung catatan TXT membawa data verifikasi DKIM . Dengan pengaturan CNAME , pemilih nama alias nama DNS lain tempat data verifikasi dikelola. Kunci penandatanganan pribadi termasuk dalam sistem penandatanganan, tidak pernah ada dalam catatan publik mana pun. RFC 6376 §3.6 Dan RFC 6376 §6.1.2 menjelaskan penemuan dan pengambilan kunci; Perilaku alias DNS didefinisikan di RFC 1034 §3.6.2.
Prosedur domain kustom Microsoft 365 menggunakan data CNAME dan tujuan yang dihasilkan penyewa. Dokumentasinya saat ini adalah contoh mengapa menyalin pola target lama tidak aman. Dapatkan nilai yang ditampilkan untuk penyewa sebenarnya dan domain yang dipilih. Contoh ini tidak berarti bahwa layanan yang tidak terkait menerima catatan yang sama.
Sebelum mengedit DNS , catat akun pengirim, terlihat Dari domain, domain penandatanganan yang dituju, nama pemilih, jenis catatan, nilai persis yang dihasilkan, dan pemilik yang bertanggung jawab. Tanyakan sistem mana yang melakukan rotasi dan siapa yang memberhentikan delegasi ketika kontrak berakhir. Jika penyedia tidak dapat menggunakan domain penandatanganan yang diperlukan, mengubah jenis data DNS tidak akan menciptakan kemampuan tersebut.
Publikasikan dengan nama pemilik yang benar
Tanda tangan ilustratif dengan d=example.com Dan s=billing mengarah ke billing._domainkey.example.com. Contoh ini mengidentifikasi nama pemilik DNS , bukan kunci publik yang berfungsi atau target CNAME produksi.
Periksa apakah antarmuka DNS mengharapkan nama lengkap itu atau hanya saja penagihan. _domainkey. Beberapa antarmuka menambahkan nama zona. Baca kembali nama pemilik yang dihasilkan alih-alih berasumsi bahwa kotak entri menyimpannya. Periksa data yang ada sebelum mengubah nama. CNAME konvensional tidak dapat hidup berdampingan di sana dengan data kunci TXT terpisah; pertahankan penyeleksi yang tidak terkait dan ikuti prosedur migrasi yang didukung penyedia.
Untuk TXT , publikasikan nilai publik yang tepat dalam representasi yang didukung. Untuk CNAME , gunakan tujuan yang dihasilkan, bukan kunci salinan yang ditemukan di tujuan hari ini. Menyalin kunci saat ini secara lokal dapat merusak model rotasi penyedia selanjutnya. Simpan tangkapan layar atau catatan yang diekspor dalam catatan perubahan, tidak termasuk kredensial dan kunci pribadi.
Verifikasi resolusi dan pengiriman sebenarnya secara terpisah
Kueri nama pemilik yang tepat terhadap DNS otoritatif, lalu periksa resolusi rekursif melalui jalur yang akan digunakan penerima. Untuk CNAME , ikuti alias ke hasil akhir TXT dan catat setiap batas waktu atau target yang hilang. Izinkan data lama disimpan dalam cache, termasuk jawaban negatif, saat menafsirkan ketidaksepakatan. Publikasi dan konvergensi cache global adalah pengamatan yang berbeda.
Selanjutnya kirim pesan terkontrol melalui aplikasi sebenarnya. Pertahankan header mentahnya dan hasil autentikasi sistem penerima tepercaya. Catatan d=, s= dan verifikasi DKIM . Memeriksa penyelarasan dengan domain Dari yang terlihat secara terpisah. Tanda tangan yang valid dari domain milik penyedia mungkin tidak terkait dengan identitas pelanggan yang ingin Anda autentikasi.
Jika DNS teratasi tetapi email tidak ditandatangani, selidiki aktivasi dan perutean layanan. Jika tanda tangan memberi nama pemilih yang berbeda, periksa pemilih tersebut daripada mengedit rekaman yang tidak digunakan berulang kali. Jika verifikasi gagal setelah modifikasi konten, mengubah TXT ke CNAME bukanlah perbaikan.
Jaga agar ketergantungan tetap akuntabel
Tutup perubahan hanya bila catatan, penandatangan dan bukti yang diterima sepakat. Simpan konfigurasi sebelumnya dan rencana pemulihan resmi sebelum peralihan. Saat offboarding, hentikan integrasi pengiriman dan hentikan ketergantungan verifikasinya dengan sengaja, dengan mempertimbangkan email sah yang masih dalam perjalanan. Jangan meninggalkan alias penyedia yang tidak dapat dijelaskan tanpa batas waktu atau menghapus pemilih aktif hanya karena spreadsheet kontrak menyatakan bahwa layanan telah berakhir.
Bacaan terkait
Delegasi DNS DKIM : menilai cakupan kendali yang diberikan kepada penyedia · Sintaks kunci publik DKIM : mengidentifikasi nilai DNS yang terpotong atau salah format.
Terapkan perbedaannya
Gunakan catatan penerimaan tiga bagian: pemilik/jenis/nilai yang dipublikasikan dan waktu observasi; d/s aktual yang diterima dan verifikasi tepercaya; selaras dengan Domain Penulis yang dituju. Jika DNS benar tetapi email tidak ditandatangani, selidiki aktivasi atau pemilihan rute alih-alih mengubah jenis rekaman. Jika pemilih berbeda dikeluarkan, ikuti bukti itu. Daftar periksa ini merupakan pekerjaan peninjauan yang diusulkan, bukan pengujian DNS atau email yang dilakukan.