[ 簡単な回答 ]
DKIM (DomainKeys Identified Mail) は、すべての電子メールに暗号化署名を追加します。送信サーバーは秘密キーで署名し、受信者はDNSでselector._domainkey.yourdomain.comに公開された公開キーを使用してそれを検証します。これは、メッセージがドメインから送信され、変更されていないことを証明します ( RFC 6376 )。
重要な事実
- ›<selector> でTXT (またはCNAME ) レコードとして公開された公開キー。 _domainkey .<ドメイン>。
- ›少なくとも 2048 ビットの RSA キーを使用してください。 1024 ビットのキーは弱いとみなされます。
- ›ドメインには、送信サービスごとに 1 つずつ、多数のセレクターを含めることができます。
- ›署名内の d= ドメインは、 DMARCの From と一致する必要があります。
- ›新しいセレクターを公開して、キーを定期的にローテーションします。
EmailAuth研究チームによるレビュー
DKIM (DomainKeys Identified Mail) は、ドメインが送信するすべてのメッセージに暗号署名を添付する電子メール認証標準です。受信サーバーは、 DNSで公開された公開キーを使用して署名を検証します。チェックアウトされた場合、受信者は、メッセージがドメインによって承認されており、メッセージの主要な部分が途中で変更されていないことがわかります。 DKIM SPFおよびDMARCと連携して、メールが本物であることを証明し、なりすましメッセージが受信トレイに入るのを防ぎます。
DKIM仕組み
DKIM公開キーと秘密キーのペアを使用します。送信サーバーは秘密キーを保持し、そのキーを使用して各送信メッセージに署名します。一致する公開キーは、 selector1._domainkey.example.comなど、セレクターから構築された場所にあるDNS TXTレコード内に存在します。受信者がメッセージを受信すると、 DKIM-Signatureヘッダーからセレクターとドメインを読み取り、 DNSから公開キーを取得し、署名を確認します。有効な署名とは、秘密キーを保持する当事者によってメールが署名され、署名された内容が転送中に変更されていないことを意味します。
- 秘密キー: 送信プラットフォームに保存され、共有されることはありません。署名が生成されます。
- 公開キー: セレクターのDNSで公開されるため、受信者は誰でも検証できます。
- セレクター: 複数のキー (送信サービスごとに 1 つなど) を一度に実行できるラベル。
- 署名: メッセージ本文と選択ヘッダーに追加されるDKIM-Signatureヘッダー。
署名の内容
DKIM 、メッセージ本文のハッシュと、選択したヘッダーのセット (通常は From、Subject、Date、To) に署名します。送信後に署名付きフィールドが変更されると、ハッシュが一致しなくなり、検証は失敗します。これが、 DKIM改ざんを検出する理由です。メッセージは暗号化されません。それは機密性ではなく、出所と完全性を証明します。
DKIMアライメントとDMARC
DKIM署名を通過できれば、 DMARCの話は半分にすぎません。 DMARCアラインメントもチェックします。つまり、 DKIM署名内のドメイン (d= タグ) が、表示されている From アドレス内のドメインと一致する必要があります。 Signing ドメインと From ドメインが並ぶと、 DKIMは整列され、 DMARC満たすことができます。 SPF調整への 2 番目のパスを提供するため、ほとんどの送信者は両方を設定します。少なくとも 1 つを調整することで、 DMARC監視から強制に移行できるようになります。
DKIMレコードはどのようなものですか
selector1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ..."ここで、v はバージョン、k はキーのタイプ、p は公開キーです。
DKIM今重要な理由
2024 年、Google とYahoo一括送信者にSPF 、 DKIM 、およびDMARCによる認証を要求し始めました。これらのチェックに合格しないメールは、制限されるか拒否される可能性があります。また、 DKIM SPFよりも転送に耐えます。これは、送信 IP が変更されても、署名されたコンテンツがそのままである限り、転送されたメッセージの署名が保持されるためです。強力なDKIM 、大規模な受信トレイに到達するためのベースラインになりました。
DKIM健全に保つ
1024 ビット キーは強度が弱く、一部の受信者は疑わしく扱うため、 DNSとプラットフォームで許可されている場合は 2048 ビット RSA キーを使用してください。スケジュールに従ってキーをローテーションし、使用しなくなったセレクターを廃止します。 EmailAuth 、アクティブなセレクターを監視し、弱いキーまたは古いキーにフラグを立てて、 DKIM DMARCに対応しているかどうかを示します。無料のドメイン スキャンでは、アクティブなセレクター、キーの強度、アライメントが 1 回のパスで報告されるため、受信者が修正する前にギャップを修正できます。
よくある質問
DKIM私の電子メールを暗号化しますか?
いいえ、 DKIMメッセージがドメインから送信され、転送中に変更されていないことを証明する暗号署名を追加します。機密性ではなく、出所と完全性を保護します。メッセージ本文自体は、別のトランスポート暗号化を使用しない限り、メッセージ本文を傍受した誰でも読み取ることができます。
DKIMセレクターとは何ですか?
セレクターは、 DNS内の特定の公開キーを指すラベルです。これにより、送信サービスごとに異なる DKIM キーなど、複数のDKIMキーを一度に公開できます。受信者はDKIM-Signatureヘッダーからセレクターを読み取り、それを使用してselector._domainkey.yourdomain.comで適切な公開鍵を見つけます。
すでにSPFを持っている場合、 DKIM必要ですか?
はい。 SPFとDKIM異なるものをチェックしますが、 DMARCどちらかに合わせて調整できます。 DKIM SPFよりも転送に耐えられるため、両方を持つことでDMARCアラインメントへのより強力なパスが得られます。 Google とYahoo現在、一括送信者がSPF 、 DKIM 、およびDMARC併用することを期待しています。
DKIMキーはどれくらいの頻度でローテーションする必要がありますか?
一般的には、6 ～ 12 か月ごとにキーをローテーションしますが、キーが漏洩した疑いがある場合はそれより早くなります。ローテーションにより、秘密キーの漏洩による被害が制限されます。 EmailAuth古いキーにフラグを立てるため、セレクターの更新期限がいつ切れるかがわかります。
電子メールのDKIMとは何ですか?
これはメッセージ ヘッダーに追加されるデジタル署名で、受信者が送信ドメインを確認し、送信中にコンテンツが変更されていないことを確認できます。
DKIMどのように機能しますか?
送信者は、選択されたヘッダーと本文をハッシュし、秘密キーでハッシュに署名し、 DKIM-Signatureヘッダーを追加します。受信者はセレクターを使用してDNSから公開キーを取得し、署名を検証します。
複数のDKIMレコードを持つことができますか?
はい、セレクターごとに 1 つです。通常、各送信サービスは独自のセレクターとキーを取得します。
DKIM設定するにはどうすればよいですか?
各送信サービスでDKIMを有効にし、提供されるTXTまたはCNAMEレコードを公開して、 DKIMルックアップで確認します。
[ DKIM ご案内】
企業の来歴
一流の金融機関と政府が選ばれる理由 電子メール セキュリティ ダッシュボードを廃止しました。
従来の電子メール認証プラットフォームはダッシュボードを販売し、エンジニアに作業を依頼します。一か八かの環境では、手動による監視は適用の遅れ、構成のドリフト、および監視されていないシャドウ ドメインを意味します。
EmailAuthは、エージェントの電子メール来歴プラットフォームです。 当社のエージェントが執行します p=reject、サードパーティの送信者を調整し、ドメインを完全に移動します。 RFC 9989 新しいDMARC標準に準拠し、人間による監査機能を備えています。
SaaS · 専用テナント · エアギャップオンプレミス · BYOK 暗号化