Een gepland DKIM rotatiewijzigingen waarbij de privésleutel nieuwe e-mail ondertekent, terwijl het verificatiemateriaal behouden blijft dat nodig is voor berichten die al onderweg zijn. Een nieuwe openbare sleutel publiceren, de ondertekenaar wisselen en de oude buiten gebruik stellen keuzeschakelaar zijn afzonderlijke fasen.
Begin met de ondertekeningsservice en de ondersteunde rotatieprocedure. Een door de provider beheerde selectordelegatie heeft een ander bedieningsmodel dan een sleutelpaar dat rechtstreeks door uw organisatie wordt beheerd.
Bepaal de huidige ondertekeningsstatus
Gebruik origineel ontvangen berichten om de daadwerkelijke d= ondertekeningsdomeinen en s= selectors te identificeren. Breng ze in verband met de ondertekeningsservice, het sleutelbeheermodel en de bedrijfseigenaar.
Een DNS record kan bestaan zonder dat deze door huidige berichten wordt gebruikt. Omgekeerd kan een oud bericht verwijzen naar een selector die niet langer de actieve keuze is voor nieuwe mail.
Sla de relevante openbare antwoorden en configuratiestatus op. Bewaar privé-ondertekeningssleutels in het geautoriseerde ondertekensysteem, niet in een ticket, inventarisspreadsheet of openbare DNS record.
Bevestig de algoritme- en providervereisten
Bekijk de huidige cryptografische richtlijnen en ondersteund verificatiegedrag. RFC 8301 §3 sluit rsa-sha1 uit en stelt eisen aan de RSA-sleutelgrootte; het beveelt RSA-sleutels van minimaal 2048 bits aan. RFC 8463 §5 definieert Ed25519-SHA256 als een aanvullende methode.
De specificatie van een algoritme en de daadwerkelijke ondersteuning van de betrokken afzenders, aanbieders en ontvangers zijn verschillende bewijzen. Wijzig een productieservice niet in een methode die de ondersteunde configuratie ervan niet kan gebruiken.
Voor door de provider beheerde ondertekening volgt u de gegenereerde waarden en het rotatieproces. Een DNS alias kan het sleutelbeheer delegeren zonder uw team de privésleutel of handmatige omschakeling te geven.
Publiceer nieuw verificatiemateriaal vóór de overstap
Als het ondersteunde ontwerp een nieuwe selector gebruikt, publiceer dan eerst het juiste openbare verificatiemateriaal. Bevestig de naam van de uiteindelijke eigenaar, het antwoord en een eventuele delegatieketen.
Gebruik een andere selector voor een nieuwe sleutel als de ondersteunde procedure dit toestaat. Als u de sleutel onder één selector vervangt, kunnen berichten achterblijven die zijn ondertekend met de oude sleutel en die niet kunnen worden geverifieerd aan de hand van de vervanging.
Verwijder de oude sleutel niet alleen omdat het nieuwe DNS antwoord er correct uitziet. In dit stadium heeft u de publicatie tot stand gebracht, niet dat de ondertekenaar is overgestapt of dat elke ontvanger het beoogde materiaal kan ophalen.
Schakel over naar ondertekening en verifieer nieuwe berichten
Gebruik de geautoriseerde ondertekeningsprocedure om te beginnen met ondertekenen met de nieuwe sleutel. Verzend representatieve berichten via belangrijke routes en inspecteer de origineel ontvangen handtekeningen en vertrouwde resultaten.
Bij een synthetische rotatie gebruikt eerdere e-mail s=old2026 en nieuwe e-mail s=new2026. Beide openbare verificatienamen blijven beschikbaar tijdens de geplande overlap, terwijl nieuw ontvangen berichten de beoogde selector en een passerende handtekening aantonen.
Als een gateway het bericht na ondertekening wijzigt, is een directe test vóór die gateway onvolledig. Bekijk de volledige zakenroute en DMARC uitlijning evenals het ruwe handtekeningresultaat.
Kies voor aftreden uit de leveringsvoorwaarden
RFC 6376 §3.1 beschrijft gelijktijdige publicatie tijdens de transitie waarin post mogelijk nog onderweg is. Het voorziet niet in één universele overlapduur voor iedere organisatie.
Beoordeel wachtrijen, gedrag bij nieuwe pogingen, verwachte leveringsvertragingen, DNS cachegedrag, relevante handtekeningvervaldatum en verificatiebehoeften. Leg de reden voor de gekozen overlap en eventuele beperkingen van de aanbieder vast.
Het oude verificatiemateriaal onder het ondersteunde proces wordt alleen buiten gebruik gesteld als de beoordeling dit rechtvaardigt. Een latere controle van een opgeslagen bericht kan na het intrekken van de sleutel afwijken van het oorspronkelijke bezorgtijdresultaat.
Beschouw een vermoedelijk compromis als een andere beslissing
Routinematige rotatie is gericht op continuïteit. Een vermoedelijke inbreuk op de privésleutel kan een dringende beperking of buitengebruikstelling vereisen, ondanks de potentiële impact van de verificatie op oudere e-mail.
Volg het incidentproces van de organisatie en de ondersteunde reactie van de ondertekenaar. Bewaar het bewijsmateriaal en leg de afweging uit. Beloof niet dat een overlap die geschikt is voor routineonderhoud ook geschikt is tijdens een actief compromis.
Sluit af met een verifieerbaar handtekeningrecord
Behoud de service, eigenaar, oude en nieuwe selectors, publicatiebewijs, observatie van de overstap, reden van overlap, pensioenbesluit en door de vertegenwoordiger ontvangen resultaten.
De selectiegids legt het opzoeken van de identiteit uit. Voor Microsoft 365 of Workspace gebruikt u hun huurderspecifiek of geselecteerd domein configuratie begeleiding. Een rotatie is voltooid wanneer de nieuwe ondertekeningsroute is geverifieerd en de oude afhankelijkheid om een gedocumenteerde reden is ingetrokken.
Gebruik drie afzonderlijke acceptatiecontroles
Deze voorgestelde checklist is dat niet een record van voltooide rotatie. Controleer vóór de overgang of de nieuwe selector de gegenereerde openbare waarde heeft, terwijl de oude selector beschikbaar blijft. Na de cutover moet een nieuw ontvangen toepassingsbericht s=new2026 en het beoogde d-domein met een vertrouwde pas tonen. Bevestig vóór het buiten gebruik stellen dat aan de overeengekomen wachtrij/nieuwe poging en verificatievoorwaarden is voldaan en leg de beslissing vast. Een pas van een niet-gerelateerde applicatie sluit de betreffende route niet af. Maak van een voorbeeldinterval geen universele wachttijd.