A DKIM サービスが目的のメールに署名し、受信者がそれを検証できるようになると、セットアップは完了します。緑色のDNSステータスだけでは、どちらの結果も確立されません。 TXTを選択するか、 CNAME これらを、キーを貼り付ける互換性のある方法として扱うのではなく、プロバイダーがサポートするキー管理モデルから取得します。
鍵の管理者を特定する
直接公開された TXTレコード DKIM検証データが含まれています。 CNAME取り決めにより、 セレクタ name は、検証データが管理される別のDNS名のエイリアスです。秘密署名キーは署名システムに属しており、どちらの公開記録にも存在しません。 RFC 6376 §3.6 そして RFC 6376 §6.1.2 鍵の発見と取得について説明する。 DNSエイリアスの動作は次のように定義されています。 RFC 1034 §3.6.2.
Microsoft 365のカスタムドメイン手順 CNAMEレコードとテナント生成の宛先を使用します。現在のドキュメントは、古いターゲット パターンのコピーが安全でない理由の一例です。実際のテナントと選択したドメインに表示される値を取得します。この例は、無関係なサービスが同じレコードを受け入れることを意味するものではありません。
DNSを編集する前に、送信アカウント、表示されている From ドメイン、署名対象ドメイン、セレクター名、レコード タイプ、正確な生成値、および責任のある所有者を記録します。どのシステムがローテーションを実行するのか、契約終了時に誰が委任を削除するのかを尋ねます。プロバイダーが必要な署名ドメインを使用できない場合、 DNSレコード タイプを変更してもその機能は作成されません。
正しい所有者名で公開する
署名の例 d=example.com そして s=billing につながる billing._domainkey.example.com。この例では、有効な公開キーや運用CNAMEターゲットではなく、 DNS所有者名を識別します。
DNSインターフェースがそのフルネームを想定しているのか、それともフルネームのみを想定しているのかを確認してください。 請求する。 _domainkey。一部のインターフェイスではゾーン名が追加されます。入力ボックスに所有者名が保存されていると想定するのではなく、結果の所有者名を読み戻します。名前を変更する前に、既存のデータを検査してください。従来のCNAME 、別のTXTキー レコードと共存できません。無関係なセレクターを保持し、プロバイダーがサポートする移行手順に従います。
TXTの場合は、サポートされている表現で正確なパブリック値を公開します。 CNAMEには、宛先で今日発見されたコピーされたキーではなく、生成された宛先を使用します。現在のキーをローカルにコピーすると、プロバイダーのその後のローテーション モデルが壊れる可能性があります。資格情報と秘密キーを除き、スクリーンショットまたはエクスポートされた記録を変更記録に保存します。
解像度と実際の送信を個別に確認する
権威DNSに対して正確な所有者名を照会し、受信者が使用するパスを介して再帰的解決を確認します。 CNAMEの場合は、エイリアスに従って最終的なTXT結果を追跡し、タイムアウトまたはターゲットの欠落を記録します。意見の相違を解釈する場合は、否定的な回答を含むキャッシュされた古いデータを考慮します。パブリケーションとグローバル キャッシュ コンバージェンスは異なる観察です。
次に、実際のアプリケーションを通じて制御されたメッセージを送信します。生のヘッダーと信頼できる受信システムの認証結果を保存します。記録 d=, s= そしてDKIM検証。チェック アライメント 表示される From ドメインとは別に。プロバイダー所有のドメインからの有効な署名は、認証しようとした顧客 ID と無関係である可能性があります。
DNS解決されるが、メールが署名されていない場合は、サービスのアクティブ化とルーティングを調査します。署名で別のセレクターが指定されている場合は、未使用のレコードを繰り返し編集するのではなく、そのセレクターを検査してください。コンテンツ変更後に検証が失敗した場合、 TXT CNAMEに変更しても修復されません。
依存関係に責任を持たせる
記録、署名者、受け取った証拠が一致した場合にのみ、変更を閉じます。カットオーバーの前に、以前の構成と承認された復旧計画を保存します。オフボード時に、まだ転送中の正当なメールを考慮して、送信統合を停止し、その検証依存関係を意図的に廃止します。単に契約スプレッドシートにサービスが終了したと記載されているからといって、説明のないプロバイダー エイリアスを無期限に残したり、アクティブなセレクターを削除したりしないでください。
関連書籍
DKIM DNS委任: プロバイダーに付与される制御の範囲を評価する · DKIM公開キー構文: 切り詰められた、または不正な形式のDNS値を識別する.
区別を適用する
公開された所有者/タイプ/値と観察時間の 3 つの部分からなる受け入れレコードを使用します。実際に受け取った D/S と信頼できる検証。意図した著者ドメインとの調整。 DNSは正しいが、メールが署名されていない場合は、レコード タイプを変更する代わりに、アクティブ化またはルート選択を調査してください。別のセレクターが発行された場合は、その証拠に従ってください。チェックリストは提案されたレビュー作業であり、 DNSやメールのテストを実行するものではありません。