[Szybka odpowiedź]
DKIM (DomainKeys Identified Mail) dodaje podpis kryptograficzny do każdego e-maila. Serwer wysyłający podpisuje się kluczem prywatnym, a odbiorcy weryfikują to za pomocą klucza publicznego opublikowanego w DNS pod adresem selector._domainkey.yourdomain.com . Dowodzi to, że wiadomość pochodziła z Twojej domeny i nie została zmieniona ( RFC 6376 ).
Kluczowe fakty
- ›Klucz publiczny opublikowany jako rekord TXT (lub CNAME ) w <selector>. _domainkey .<domena>.
- ›Używaj kluczy RSA o długości co najmniej 2048 bitów; Klucze 1024-bitowe są uważane za słabe.
- ›Domena może mieć wiele selektorów, po jednym na każdą usługę wysyłającą.
- ›Domena d= w podpisie musi być zgodna z From w przypadku DMARC .
- ›Okresowo zmieniaj klucze, publikując nowy selektor.
Sprawdzone przez zespół badawczy EmailAuth
DKIM (DomainKeys Identified Mail) to standard uwierzytelniania poczty e-mail, który dołącza podpis kryptograficzny do każdej wiadomości wysyłanej przez domenę. Serwer odbierający używa klucza publicznego opublikowanego w Twoim DNS w celu sprawdzenia tego podpisu. Jeśli się sprawdzi, odbiorca będzie wiedział, że wiadomość została autoryzowana przez Twoją domenę i że kluczowe jej części nie zostały po drodze zmienione. DKIM współpracuje z SPF i DMARC aby udowodnić, że Twoja poczta jest autentyczna i zapobiec przedostawaniu się fałszywych wiadomości do skrzynek odbiorczych.
Jak działa DKIM
DKIM wykorzystuje parę kluczy publiczny i prywatny. Twój serwer wysyłający przechowuje klucz prywatny i podpisuje nim każdą wiadomość wychodzącą. Pasujący klucz publiczny znajduje się w rekordzie DNS TXT w lokalizacji utworzonej na podstawie selektora, np. selector1._domainkey.example.com . Gdy odbiorca otrzyma Twoją wiadomość, odczytuje selektor i domenę z nagłówka DKIM-Signature , pobiera klucz publiczny z DNS i potwierdza podpis. Ważny podpis oznacza, że wiadomość została podpisana przez osobę posiadającą Twój klucz prywatny i że podpisana treść nie została zmieniona podczas przesyłania.
- Klucz prywatny: przechowywany na Twojej platformie wysyłającej i nigdy nie udostępniany; generuje podpis.
- Klucz publiczny: opublikowany w DNS u selektora, aby każdy odbiorca mógł go zweryfikować.
- Selektor: etykieta umożliwiająca uruchomienie kilku kluczy jednocześnie, na przykład po jednym dla każdej usługi wysyłającej.
- Podpis: nagłówek DKIM-Signature dodany do treści wiadomości i wybranych nagłówków.
Co kryje się pod podpisem
DKIM podpisuje skrót treści wiadomości oraz wybrany zestaw nagłówków, zwykle Od, Temat, Data i Do. Jeśli po wysłaniu jakiekolwiek podpisane pole ulegnie zmianie, skrót nie będzie już zgodny i weryfikacja zakończy się niepowodzeniem. Dlatego DKIM wykrywa manipulację. Nie szyfruje wiadomości; potwierdza pochodzenie i integralność, a nie poufność.
Dopasowanie DKIM i DMARC
Przechodzący podpis DKIM to tylko połowa historii DMARC . DMARC sprawdza również dopasowanie, co oznacza, że domena w podpisie DKIM (znacznik d=) musi odpowiadać domenie w widocznym adresie Od. Gdy domena podpisująca i domena Od są zgodne, DKIM jest zgodny i może spełniać DMARC . SPF oferuje drugą ścieżkę dostosowania, więc większość nadawców konfiguruje obie. Dopasowanie co najmniej jednego pozwala przenieść DMARC z monitorowania do egzekwowania.
Jak wygląda rekord DKIM
selector1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ..." gdzie v to wersja, k to typ klucza, a p to klucz publiczny.
Dlaczego DKIM ma teraz znaczenie
W 2024 r. Google i Yahoo zaczęły wymagać od nadawców przesyłek masowych uwierzytelniania za pomocą SPF , DKIM i DMARC . Poczta, która nie przejdzie pomyślnie tych kontroli, może zostać zablokowana lub odrzucona. DKIM radzi sobie również z przesyłaniem dalej niż SPF , ponieważ przekazywana wiadomość zachowuje swój podpis nawet w przypadku zmiany adresu IP nadawcy, o ile podpisana treść pozostaje nienaruszona. Silny DKIM jest teraz podstawą dotarcia do skrzynki odbiorczej na dużą skalę.
Utrzymanie DKIM w zdrowiu
Używaj 2048-bitowych kluczy RSA, jeśli pozwala na to Twój DNS i platforma, ponieważ 1024-bitowe klucze są słabsze i niektórzy odbiorcy traktują je podejrzliwie. Obracaj klawisze zgodnie z harmonogramem i wycofuj selektory, których już nie używasz. EmailAuth monitoruje aktywne selektory, oznacza słabe lub nieaktualne klucze i pokazuje, czy DKIM jest dostosowany do DMARC . Bezpłatne skanowanie domeny raportuje aktywne selektory, siłę klucza i wyrównanie w jednym przebiegu, dzięki czemu możesz naprawić luki, zanim zrobią to odbiorcy.
Często zadawane pytania
Czy DKIM szyfruje moją pocztę e-mail?
Nie. DKIM dodaje podpis kryptograficzny potwierdzający, że wiadomość pochodzi z Twojej domeny i nie została zmieniona podczas przesyłania. Chroni pochodzenie i integralność, a nie poufność. Sama treść wiadomości jest nadal czytelna dla każdego, kto ją przechwyci, chyba że użyjesz osobnego szyfrowania transportowego.
Co to jest selektor DKIM ?
Selektor to etykieta wskazująca konkretny klucz publiczny w DNS . Umożliwia publikację kilku kluczy DKIM na raz, np. innego dla każdej usługi wysyłającej. Odbiorca odczytuje selektor z nagłówka DKIM-Signature i używa go do znalezienia odpowiedniego klucza publicznego w selector._domainkey.yourdomain.com .
Czy potrzebuję DKIM jeśli mam już SPF ?
Tak. SPF i DKIM sprawdzają różne rzeczy, a DMARC może dostosować się do jednego z nich. DKIM radzi sobie z przesyłaniem lepiej niż SPF , więc posiadanie obu zapewnia silniejszą ścieżkę do wyrównania DMARC . Google i Yahoo oczekują obecnie, że nadawcy masowi będą używać jednocześnie SPF , DKIM i DMARC .
Jak często powinienem zmieniać klucze DKIM ?
Powszechną praktyką jest obracanie kluczy co sześć do dwunastu miesięcy lub częściej, jeśli podejrzewasz, że klucz został ujawniony. Rotacja ogranicza szkody spowodowane wyciekiem klucza prywatnego. EmailAuth oznacza nieaktualne klucze, dzięki czemu wiesz, kiedy selektor wymaga odświeżenia.
Co to jest DKIM w e-mailu?
Jest to podpis cyfrowy dodawany do nagłówków wiadomości, który pozwala odbiorcom zweryfikować domenę wysyłającą i upewnić się, że treść nie została zmieniona podczas przesyłania.
Jak działa DKIM ?
Nadawca hashuje wybrane nagłówki i treść, podpisuje hash kluczem prywatnym i dodaje nagłówek DKIM-Signature . Odbiorca pobiera klucz publiczny z DNS za pomocą selektora i weryfikuje podpis.
Czy możesz mieć wiele rekordów DKIM ?
Tak, po jednym na selektor. Każda usługa wysyłania zwykle otrzymuje własny selektor i klucz.
Jak skonfigurować DKIM ?
Włącz DKIM w każdej usłudze wysyłającej, opublikuj otrzymany rekord TXT lub CNAME , a następnie zweryfikuj za pomocą wyszukiwania DKIM .
[ DKIM przewodnik ]
Pochodzenie przedsiębiorstwa
Dlaczego najlepsze instytucje finansowe i rządy wycofali swoje panele bezpieczeństwa poczty e-mail.
Tradycyjne platformy uwierzytelniania poczty e-mail oferują pulpit nawigacyjny i proszą inżynierów o wykonanie pracy. W środowiskach o dużej stawce ręczny nadzór oznacza opóźnione egzekwowanie, zmianę konfiguracji i niemonitorowane domeny-cienie.
EmailAuth to platforma agentowego pochodzenia wiadomości e-mail. Nasi agenci egzekwują p=reject, dostosuj zewnętrznych nadawców i przenieś swoje domeny do pełnych adresów RFC 9989 zgodność, nowy standard DMARC , z możliwością kontroli przez człowieka.
SaaS · Dedykowany najem · Lokalne rozwiązanie typu air-gapped · Szyfrowanie BYOK