[Risposta veloce]
Una firma DKIM è l'intestazione DKIM-Signature aggiunta a un'e-mail. Contiene il dominio della firma ( d=), il selettore ( s=), l'algoritmo ( a=), le intestazioni firmate ( h=), l'hash del corpo ( bh=) e la firma stessa ( b=).
Fatti chiave
- ›d= must align with the From domain for DMARC.
- ›bh= is a hash of the body; any change after signing breaks it.
- ›L'inoltro solitamente preserva DKIM , a differenza di SPF .
Recensito dal team di ricerca EmailAuth
Una DKIM-Signature è un'intestazione che il server di invio aggiunge a ciascun messaggio. Porta una firma crittografica sul corpo del messaggio e un insieme scelto di intestazioni, oltre alle informazioni di cui un destinatario ha bisogno per verificarlo: quale dominio ha firmato la posta, quale selettore detiene la chiave pubblica e quale algoritmo è stato utilizzato. Il destinatario legge questa intestazione, recupera la tua chiave pubblica dal DNS e conferma la firma. Un pass indica che la posta è stata autorizzata dal tuo dominio e non è stata alterata durante il trasporto.
I tag all'interno di una DKIM-Signature
L'intestazione è un insieme di coppie tag=value separate da punto e virgola. Ogni tag dice al destinatario qualcosa di cui ha bisogno per verificare il messaggio. I più importanti sono questi.
- v: la versione DKIM , attualmente 1.
- a: l'algoritmo di firma, ad esempio rsa-sha256.
- d: il dominio firmante, il dominio che si assume la responsabilità del messaggio.
- s: il selettore, che punta alla chiave pubblica nel DNS .
- bh: l'hash del corpo del messaggio.
- b: la firma crittografica effettiva sulle intestazioni e sull'hash del corpo.
- h: l'elenco dei campi di intestazione firmati, ad esempio from:subject:date:to.
Esempio di intestazione DKIM-Signature
v=1; a=rsa-sha256; d=example.com; s=s1; h=from:subject:date:to; bh=frcCV1k9oG9...; b=dzdVyOfAKCdLXd...
Come funziona la verifica
Quando arriva un messaggio, il destinatario legge il dominio d= e il selettore s=, quindi cerca la chiave pubblica in s. _domainkey.d , ad esempio s1._domainkey.example.com . Ricalcola l'hash del corpo e lo confronta con il tag bh, quindi utilizza la chiave pubblica per verificare la firma b rispetto alle intestazioni firmate elencate in h. Se entrambi corrispondono, DKIM passa. Se il corpo o qualsiasi intestazione firmata viene modificata dopo l'invio, gli hash differiscono e la verifica fallisce, ed è così che DKIM rileva la manomissione.
Il ruolo dei tag h e bh
Il tag bh è un hash del corpo, quindi qualsiasi modifica al contenuto del messaggio lo interrompe. Il tag h elenca quali intestazioni sono protette e la firma b copre esattamente quelle intestazioni. Firmare da è essenziale, poiché questo è l'indirizzo che i destinatari vedono. I firmatari spesso lasciano l'hash del corpo tollerante agli spazi bianchi finali in modo che la normale gestione della posta non interrompa la firma, pur rilevando le modifiche reali.
Firma, allineamento e DMARC
Una firma DKIM valida è necessaria ma non sufficiente per DMARC . DMARC controlla anche che il dominio d= sia allineato con il dominio Da visibile. Quando corrispondono, DKIM è allineato e può soddisfare DMARC da solo. SPF fornisce un secondo percorso di allineamento. Poiché la firma DKIM viaggia con il messaggio, spesso sopravvive all'inoltro laddove SPF si interrompe, il che rende l'allineamento DKIM prezioso per raggiungere la posta in arrivo.
Guardare le tue firme nel tempo
Le firme possono rompersi silenziosamente quando un fornitore modifica la firma, un selettore viene ritirato o una chiave diventa obsoleta. EmailAuth legge la DKIM-Signature sulla posta reale, monitora i tuoi selettori e contrassegna le chiavi deboli o scadute prima che i destinatari rifiutino i tuoi messaggi. Una scansione gratuita del dominio segnala i selettori attivi, la forza delle chiavi e se DKIM è allineato a DMARC , in modo da poter confermare che ogni percorso di firma sia integro.
Domande frequenti
Cosa significa il tag b in una DKIM-Signature ?
Il tag b contiene la firma crittografica effettiva, calcolata sulle intestazioni firmate e sull'hash del corpo utilizzando la tua chiave privata. Il destinatario lo verifica con la chiave pubblica del DNS . Se il valore b non viene eseguito, DKIM fallisce e il messaggio viene considerato non firmato o sospetto.
Qual è la differenza tra i tag bh e b?
Il tag bh è un hash del solo corpo del messaggio, quindi qualsiasi modifica al contenuto lo interrompe. Il tag b è la firma sulle intestazioni selezionate più l'hash del corpo. Un destinatario controlla prima bh, quindi verifica b ed entrambi devono passare affinché DKIM abbia esito positivo.
Quali intestazioni firma DKIM ?
Il tag h elenca le intestazioni firmate, comunemente Da, Oggetto, Data e A, sebbene l'insieme esatto venga scelto dal firmatario. Da è il più importante perché è l'indirizzo che i destinatari vedono. Qualsiasi modifica a un'intestazione firmata dopo l'invio interromperà la verifica.
Perché a volte DKIM continua a passare dopo l'inoltro?
La DKIM-Signature viaggia all'interno del messaggio, quindi un'e-mail inoltrata mantiene la propria firma anche quando cambia l'IP di invio. Finché il corpo firmato e le intestazioni rimangono intatti, la verifica viene comunque superata. Questo è il motivo per cui DKIM sopravvive all'inoltro meglio di SPF , che si interrompe quando cambia il server di invio.
Perché DKIM fallisce?
Le cause più comuni sono una chiave pubblica mancante o digitata in modo errato, una mancata corrispondenza del selettore oppure una mailing list o un gateway di sicurezza che modifica il messaggio dopo che è stato firmato.
[ DKIM guida]
Provenienza aziendale
Perché le principali istituzioni finanziarie e i governi hanno ritirato le dashboard di sicurezza della posta elettronica.
Le tradizionali piattaforme di autenticazione e-mail ti vendono una dashboard e chiedono ai tuoi ingegneri di fare il lavoro. Negli ambienti ad alto rischio, la supervisione manuale comporta un’applicazione ritardata, deviazioni della configurazione e domini ombra non monitorati.
EmailAuth è la piattaforma di provenienza della posta elettronica degli agenti. I nostri agenti applicano p=reject, mantieni allineati i mittenti di terze parti e sposta i tuoi domini al massimo RFC 9989 conformità, il nuovo standard DMARC , con verificabilità human-in-the-loop.
SaaS · Locazione dedicata · Air-gapped on-premise · Crittografia BYOK