[Risposta veloce]
DKIM (DomainKeys Identified Mail) aggiunge una firma crittografica a ogni email. Il server mittente firma con una chiave privata e i destinatari la verificano utilizzando una chiave pubblica pubblicata nel DNS su selector._domainkey.yourdomain.com . Dimostra che il messaggio proviene dal tuo dominio e non è stato alterato ( RFC 6376 ).
Fatti chiave
- ›Chiave pubblica pubblicata come record TXT (o CNAME ) su <selector>. _domainkey .<dominio>.
- ›Utilizzare chiavi RSA di almeno 2048 bit; Le chiavi a 1024 bit sono considerate deboli.
- ›Un dominio può avere più selettori, uno per servizio di invio.
- ›Il dominio d= nella firma deve essere allineato con From per DMARC .
- ›Ruota periodicamente le chiavi pubblicando un nuovo selettore.
Recensito dal team di ricerca EmailAuth
DKIM (DomainKeys Identified Mail) è uno standard di autenticazione e-mail che allega una firma crittografica a ogni messaggio inviato da un dominio. Il server ricevente utilizza una chiave pubblica pubblicata nel tuo DNS per verificare tale firma. Se viene verificato, il destinatario sa che il messaggio è stato autorizzato dal tuo dominio e che le sue parti fondamentali non sono state alterate durante il trasporto. DKIM collabora con SPF e DMARC per dimostrare che la tua posta è autentica e per tenere lontani i messaggi falsificati dalle caselle di posta.
Come funziona DKIM
DKIM utilizza una coppia di chiavi pubblica e privata. Il tuo server di invio detiene la chiave privata e con essa firma ogni messaggio in uscita. La chiave pubblica corrispondente si trova in un record DNS TXT in una posizione creata dal tuo selettore, ad esempio selector1._domainkey.example.com . Quando un destinatario riceve il tuo messaggio, legge il selettore e il dominio dall'intestazione DKIM-Signature , recupera la chiave pubblica dal DNS e conferma la firma. Una firma valida significa che la posta è stata firmata da una parte che detiene la tua chiave privata e che il contenuto firmato non è stato modificato durante il trasporto.
- Chiave privata: archiviata sulla tua piattaforma di invio e mai condivisa; produce la firma.
- Chiave pubblica: pubblicata nel DNS nel selettore in modo che qualsiasi destinatario possa verificare.
- Selettore: un'etichetta che consente di eseguire più chiavi contemporaneamente, ad esempio una per servizio di invio.
- Firma: l'intestazione DKIM-Signature aggiunta al corpo del messaggio e seleziona le intestazioni.
Cosa copre la firma
DKIM firma un hash del corpo del messaggio più un insieme scelto di intestazioni, comunemente Da, Oggetto, Data e A. Se un campo firmato cambia dopo l'invio, l'hash non corrisponde più e la verifica fallisce. Questo è il motivo per cui DKIM rileva la manomissione. Non crittografa il messaggio; dimostra l'origine e l'integrità, non la riservatezza.
Allineamento DKIM e DMARC
Una firma DKIM di passaggio è solo metà della storia per DMARC . DMARC controlla anche l'allineamento, ovvero il dominio nella firma DKIM (il tag d=) deve corrispondere al dominio nell'indirizzo del mittente visibile. Quando il dominio di firma e il dominio Da si allineano, DKIM è allineato e può soddisfare DMARC . SPF offre un secondo percorso per l'allineamento, quindi la maggior parte dei mittenti li configura entrambi. Ottenere almeno un allineamento è ciò che ti consente di spostare DMARC dal monitoraggio all'applicazione.
Che aspetto ha un record DKIM
selector1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ..." dove v è la versione, k è il tipo di chiave e p è la chiave pubblica.
Perché DKIM è importante adesso
Nel 2024 Google e Yahoo hanno iniziato a richiedere ai mittenti di massa di autenticarsi con SPF , DKIM e DMARC . La posta che non supera questi controlli può essere limitata o rifiutata. Inoltre, DKIM sopravvive all'inoltro meglio di SPF , poiché un messaggio inoltrato mantiene la propria firma anche quando cambia l'IP di invio, purché il contenuto firmato rimanga intatto. DKIM forte è ora una base per raggiungere la casella di posta su larga scala.
Mantenere DKIM in salute
Utilizza chiavi RSA a 2048 bit laddove il DNS e la piattaforma lo consentono, poiché le chiavi a 1024 bit sono più deboli e alcuni ricevitori le trattano con sospetto. Ruota le chiavi secondo un programma e dismetti i selettori che non usi più. EmailAuth monitora i selettori attivi, contrassegna le chiavi deboli o obsolete e mostra se DKIM è allineato per DMARC . Una scansione gratuita del dominio segnala i selettori attivi, la forza delle chiavi e l'allineamento in un unico passaggio in modo da poter correggere le lacune prima che lo facciano i ricevitori.
Domande frequenti
DKIM crittografa la mia posta elettronica?
No. DKIM aggiunge una firma crittografica che dimostra che il messaggio proviene dal tuo dominio e non è stato alterato durante il trasporto. Protegge l'origine e l'integrità, non la riservatezza. Il corpo del messaggio stesso è ancora leggibile da chiunque lo intercetti, a meno che non si utilizzi una crittografia di trasporto separata.
Cos'è un selettore DKIM ?
Un selettore è un'etichetta che punta a una chiave pubblica specifica nel tuo DNS . Ti consente di pubblicare più chiavi DKIM contemporaneamente, ad esempio una diversa per ciascun servizio di invio. Il destinatario legge il selettore dall'intestazione DKIM-Signature e lo utilizza per trovare la chiave pubblica corretta su selector._domainkey.yourdomain.com .
Ho bisogno DKIM se ho già SPF ?
SÌ. SPF e DKIM controllano cose diverse e DMARC può allinearsi su uno dei due. DKIM sopravvive all'inoltro meglio di SPF , quindi averli entrambi ti offre un percorso più forte verso l'allineamento DMARC . Google e Yahoo ora si aspettano che i mittenti di massa utilizzino insieme SPF , DKIM e DMARC .
Con quale frequenza devo ruotare le chiavi DKIM ?
Una pratica comune è quella di ruotare le chiavi ogni sei-dodici mesi e anche prima se si sospetta che una chiave sia stata esposta. La rotazione limita il danno derivante da una chiave privata trapelata. EmailAuth segnala le chiavi obsolete in modo da sapere quando è scaduto l'aggiornamento di un selettore.
Che cos'è DKIM nell'e-mail?
Si tratta di una firma digitale aggiunta alle intestazioni dei messaggi che consente ai destinatari di verificare il dominio di invio e che il contenuto non sia stato modificato durante il transito.
Come funziona DKIM ?
Il mittente esegue l'hashing delle intestazioni e del corpo selezionati, firma l'hash con una chiave privata e aggiunge un'intestazione DKIM-Signature . Il destinatario recupera la chiave pubblica dal DNS utilizzando il selettore e verifica la firma.
Puoi avere più record DKIM ?
Sì, uno per selezionatore. Ogni servizio di invio solitamente riceve il proprio selettore e la propria chiave.
Come posso impostare DKIM ?
Abilita DKIM in ogni servizio di invio, pubblica il record TXT o CNAME che ti fornisce, quindi verifica con una ricerca DKIM .
[ DKIM guida]
Provenienza aziendale
Perché le principali istituzioni finanziarie e i governi hanno ritirato le dashboard di sicurezza della posta elettronica.
Le tradizionali piattaforme di autenticazione e-mail ti vendono una dashboard e chiedono ai tuoi ingegneri di fare il lavoro. Negli ambienti ad alto rischio, la supervisione manuale comporta un’applicazione ritardata, deviazioni della configurazione e domini ombra non monitorati.
EmailAuth è la piattaforma di provenienza della posta elettronica degli agenti. I nostri agenti applicano p=reject, mantieni allineati i mittenti di terze parti e sposta i tuoi domini al massimo RFC 9989 conformità, il nuovo standard DMARC , con verificabilità human-in-the-loop.
SaaS · Locazione dedicata · Air-gapped on-premise · Crittografia BYOK