[Raskt svar]
DKIM (DomainKeys Identified Mail) legger til en kryptografisk signatur til hver e-post. Senderserveren signerer med en privat nøkkel, og mottakere bekrefter den ved å bruke en offentlig nøkkel publisert i DNS på selector._domainkey.yourdomain.com . Det beviser at meldingen kom fra domenet ditt og ikke ble endret ( RFC 6376 ).
Nøkkelfakta
- ›Offentlig nøkkel publisert som en TXT (eller CNAME )-post på <selector>. _domainkey .<domene>.
- ›Bruk RSA-nøkler på minst 2048 biter; 1024-bits nøkler anses som svake.
- ›Et domene kan ha mange velgere, én per sendetjeneste.
- ›d=-domenet i signaturen må justeres med From for DMARC .
- ›Roter nøkler med jevne mellomrom ved å publisere en ny velger.
Gjennomgått av EmailAuth -forskningsteamet
DKIM (DomainKeys Identified Mail) er en standard for e-postautentisering som legger ved en kryptografisk signatur til hver melding et domene sender. Mottaksserveren bruker en offentlig nøkkel publisert i din DNS for å bekrefte signaturen. Hvis den sjekker ut, vet mottakeren at meldingen ble autorisert av domenet ditt, og at viktige deler av den ikke ble endret underveis. DKIM jobber med SPF og DMARC for å bevise at e-posten din er ekte og for å holde falske meldinger borte fra innboksene.
Hvordan DKIM fungerer
DKIM bruker et offentlig og privat nøkkelpar. Sendeserveren din har den private nøkkelen og signerer hver utgående melding med den. Den samsvarende offentlige nøkkelen befinner seg i en DNS TXT post på et sted bygget fra velgeren din, for eksempel selector1._domainkey.example.com . Når en mottaker mottar meldingen din, leser den velgeren og domenet fra DKIM-Signature signaturoverskriften, henter den offentlige nøkkelen fra DNS og bekrefter signaturen. En gyldig signatur betyr at e-posten ble signert av en part som har din private nøkkel, og at det signerte innholdet ikke ble endret under transporten.
- Privat nøkkel: lagret på din sendeplattform og aldri delt; den produserer signaturen.
- Offentlig nøkkel: publisert i DNS ved velgeren slik at enhver mottaker kan bekrefte.
- Velger: en etikett som lar deg kjøre flere nøkler samtidig, for eksempel én per sendetjeneste.
- Signatur: DKIM-Signature overskriften lagt til meldingsteksten og velg-overskrifter.
Hva signaturen dekker
DKIM signerer en hash av meldingsteksten pluss et valgt sett med overskrifter, vanligvis Fra, Emne, Dato og Til. Hvis et signert felt endres etter sending, samsvarer ikke lenger hashen og verifiseringen mislykkes. Dette er grunnen til at DKIM oppdager tukling. Den krypterer ikke meldingen; det beviser opprinnelse og integritet, ikke konfidensialitet.
DKIM -justering og DMARC
En bestått DKIM -signatur er bare halve historien for DMARC . DMARC sjekker også justering, noe som betyr at domenet i DKIM signaturen (d=-taggen) må samsvare med domenet i den synlige Fra-adressen. Når signeringsdomenet og Fra-domenet er på linje, er DKIM justert og kan tilfredsstille DMARC . SPF tilbyr en andre vei til justering, så de fleste avsendere konfigurerer begge. Å få minst én justert er det som lar deg flytte DMARC fra overvåking til håndheving.
Hvordan en DKIM -plate ser ut
selector1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ..." der v er versjonen, k er nøkkeltypen og p er den offentlige nøkkelen.
Hvorfor DKIM er viktig nå
I 2024 begynte Google og Yahoo å kreve at bulksendere skulle autentisere seg med SPF , DKIM og DMARC . E-post som ikke består disse kontrollene kan strupes eller avvises. DKIM overlever også videresending bedre enn SPF , fordi en videresendt melding beholder sin signatur selv når avsender-IP endres, så lenge det signerte innholdet forblir intakt. Sterk DKIM er nå en baseline for å nå innboksen i stor skala.
Holde DKIM sunt
Bruk 2048-bits RSA-nøkler der din DNS og plattform tillater det, siden 1024-bits nøkler er svakere og noen mottakere behandler dem med mistenksomhet. Roter tastene på en tidsplan, og trekk ut velgere du ikke lenger bruker. EmailAuth overvåker de aktive velgerne dine, flagger svake eller foreldede nøkler og viser om DKIM er justert for DMARC . En gratis domeneskanning rapporterer dine aktive velgere, nøkkelstyrke og justering i én omgang, slik at du kan fikse hull før mottakerne gjør det.
Ofte stilte spørsmål
Krypterer DKIM e-posten min?
Nei. DKIM legger til en kryptografisk signatur som beviser at meldingen kom fra domenet ditt og ikke ble endret under overføringen. Den beskytter opprinnelse og integritet, ikke konfidensialitet. Selve meldingsteksten er fortsatt lesbar for alle som avskjærer den med mindre du bruker separat transportkryptering.
Hva er en DKIM velger?
En velger er en etikett som peker til en bestemt offentlig nøkkel i din DNS . Den lar deg publisere flere DKIM nøkler samtidig, for eksempel en annen for hver sendetjeneste. Mottakeren leser velgeren fra DKIM-Signature og bruker den til å finne den rette offentlige nøkkelen på selector._domainkey.yourdomain.com .
Trenger jeg DKIM hvis jeg allerede har SPF ?
Ja. SPF og DKIM sjekker forskjellige ting, og DMARC kan justere på begge. DKIM overlever videresending bedre enn SPF , så å ha begge deler gir deg en sterkere vei til DMARC justering. Google og Yahoo forventer nå at bulksendere bruker SPF , DKIM og DMARC sammen.
Hvor ofte bør jeg rotere DKIM nøkler?
En vanlig praksis er å rotere nøkler hver sjette til tolvte måned, og raskere hvis du mistenker at en nøkkel ble utsatt. Rotasjon begrenser skaden fra en lekket privat nøkkel. EmailAuth flagger foreldede nøkler slik at du vet når en velger er forsinket for en oppdatering.
Hva er DKIM i e-post?
Det er en digital signatur lagt til meldingshoder som lar mottakere bekrefte avsenderdomenet og at innholdet ikke ble endret under overføringen.
Hvordan fungerer DKIM ?
Avsender hashes valgte overskrifter og brødteksten, signerer hashen med en privat nøkkel og legger til en DKIM-Signature . Mottakeren henter den offentlige nøkkelen fra DNS ved hjelp av velgeren og verifiserer signaturen.
Kan du ha flere DKIM -poster?
Ja, en per velger. Hver sendetjeneste får vanligvis sin egen velger og nøkkel.
Hvordan setter jeg opp DKIM ?
Aktiver DKIM i hver sendetjeneste, publiser TXT eller CNAME posten den gir deg, og bekreft deretter med et DKIM oppslag.
[ DKIM guide ]
Enterprise herkomst
Hvorfor topp finansinstitusjoner og regjeringer pensjonert e-postsikkerhetsdashboardene deres.
Tradisjonelle e-postautentiseringsplattformer selger deg et dashbord og ber ingeniørene dine gjøre jobben. I miljøer med høy innsats betyr manuell overvåking forsinket håndheving, konfigurasjonsdrift og uovervåkede skyggedomener.
EmailAuth er den agentiske e-postopprinnelsesplattformen. Våre agenter håndhever p=reject, hold tredjepartssendere på linje og flytt domenene dine til fulle RFC 9989 compliance, den nye DMARC standarden, med menneskelig-in-the-loop reviderbarhet.
SaaS · Dedikert leieforhold · Air-gaped on-prem · BYOK-kryptering