Un controllore di record DKIM cerca la chiave pubblica pubblicata in un determinato selettore e conferma che è valida, ben formata e sufficientemente forte da consentire ai destinatari di fidarsi. Legge l'intestazione DKIM-Signature inviata dalla posta, trova il selettore e il dominio, quindi recupera il record TXT corrispondente nel DNS per verificare il tipo di chiave, la lunghezza della chiave e se DKIM è allineato con il dominio Da per DMARC . L'esecuzione di una scansione ti dice in pochi secondi se la configurazione della firma funziona.
Ciò che verifica un controllore
- Il selettore esiste e restituisce una chiave pubblica valida su selector._domainkey.yourdomain.com .
- Il tipo e la versione della chiave sono corretti, ad esempio v=DKIM1 e k=rsa.
- Punto di forza della chiave, con 2048 bit preferito rispetto al più debole 1024 bit.
- Se il dominio di firma in d= è allineato al dominio Da visibile per DMARC .
- Che nessun errore di sintassi o chiave troncata possa causare il fallimento della verifica.
Perché controlli il selettore, non il dominio nudo
Le chiavi DKIM non si trovano alla radice del tuo dominio. Vivono sotto un selettore, quindi una semplice ricerca di dominio non li troverà. Devi sapere quali selettori utilizzano le tue piattaforme, perché ogni servizio di posta firma con il proprio. Un messaggio dal tuo strumento di marketing e un messaggio dal tuo helpdesk possono contenere selettori diversi ed entrambi necessitano di chiavi valide. Un buon controllo ispeziona le intestazioni dei messaggi reali o ti consente di testare ciascun selettore per nome.
Forza chiave della lettura
La lunghezza della chiave pubblica è il principale segnale di forza. Una chiave a 1024 bit viene ancora verificata dalla maggior parte dei ricevitori, ma è più facile da attaccare e alcuni provider ora la scoraggiano. L'attuale raccomandazione è una chiave RSA da 2048 bit. Se il tuo provider DNS limita la lunghezza del record TXT , dividi il valore in stringhe tra virgolette in modo che la chiave completa venga pubblicata correttamente. Un controllo ti avviserà se una chiave sembra troncata o debole.
Verificare l'intero set di autenticazione
DKIM da solo non ferma lo spoofing. Associalo a SPF e a una policy DMARC su p=quarantine o p=reject, e conferma che DKIM sia allineato con il tuo dominio Da in modo che DMARC possa passare.
Esegui una scansione gratuita del dominio
EmailAuth esegue una scansione gratuita del dominio che trova i tuoi selettori DKIM attivi, segnala il tipo e la forza di ciascuna chiave e mostra se DKIM è allineato per DMARC . Controlla anche i record SPF e DMARC nello stesso passaggio, in modo da visualizzare l'immagine completa dell'autenticazione anziché una parte di essa. Se un selettore è mancante, debole o disallineato, la scansione ti dice esattamente cosa correggere.
Dal controllo al monitoraggio
Un controllo una tantum è uno snapshot. I selettori vengono aggiunti quando si integrano nuovi strumenti, le chiavi diventano obsolete e un fornitore può modificare la firma senza avvisarti. EmailAuth monitora i tuoi selettori nel tempo, segnala le chiavi deboli o scadute e ti avvisa quando l'allineamento si interrompe. Il monitoraggio continuo garantisce il funzionamento DKIM man mano che lo stack di invio cambia.
Domande frequenti
Come trovo il mio selettore DKIM ?
Guarda l'intestazione DKIM-Signature di un'e-mail che hai inviato; il tag s= è il selettore e il tag d= è il dominio di firma. Puoi anche controllare le istruzioni di configurazione DNS della tua piattaforma di posta elettronica, che indicano il nome del selettore da pubblicare. Un controllo DKIM può leggere il selettore direttamente da un'intestazione di messaggio di esempio.
Perché il mio record DKIM non viene visualizzato in una ricerca DNS ?
Le chiavi DKIM sono pubblicate sotto un selettore, non nel tuo dominio principale, quindi una semplice ricerca di yourdomain.com non le troverà. Devi interrogare selector._domainkey.yourdomain.com con il nome del selettore corretto. Se utilizzi il selettore sbagliato, il record risulterà mancante anche se DKIM è impostato correttamente.
Una chiave DKIM a 1024 bit è ancora sicura?
Esegue ancora la verifica sulla maggior parte dei ricevitori, ma le chiavi a 1024 bit sono più deboli e alcuni provider ora le scoraggiano. L'attuale raccomandazione è RSA a 2048 bit. Esegui l'upgrade quando il tuo DNS e la piattaforma di invio lo supportano e una scansione contrassegnerà qualsiasi chiave non adeguata.
Un controllore può dirmi se DKIM è allineato per DMARC ?
SÌ. L'allineamento significa che il dominio di firma nel tag DKIM d= corrisponde al dominio Da visibile. Un controllo DKIM o una scansione completa del dominio segnala se tale corrispondenza è valida, il che è ciò che consente DKIM di soddisfare DMARC e di passare a una policy di applicazione.
Provenienza aziendale
Perché le principali istituzioni finanziarie e i governi hanno ritirato le dashboard di sicurezza della posta elettronica.
Le tradizionali piattaforme di autenticazione e-mail ti vendono una dashboard e chiedono ai tuoi ingegneri di fare il lavoro. Negli ambienti ad alto rischio, la supervisione manuale comporta un’applicazione ritardata, deviazioni della configurazione e domini ombra non monitorati.
EmailAuth è la piattaforma di provenienza della posta elettronica degli agenti. I nostri agenti applicano p=reject, mantieni allineati i mittenti di terze parti e sposta i tuoi domini al massimo RFC 9989 conformità, il nuovo standard DMARC , con verificabilità human-in-the-loop.
SaaS · Locazione dedicata · Air-gapped on-premise · Crittografia BYOK