Narzędzie do sprawdzania rekordów DKIM wyszukuje klucz publiczny opublikowany u danego selektora i potwierdza, że jest on ważny, dobrze sformułowany i wystarczająco silny, aby odbiorcy mogli mu zaufać. Odczytuje nagłówek DKIM-Signature wysyłany przez pocztę, znajduje selektor i domenę, a następnie pobiera pasujący rekord TXT w DNS , aby sprawdzić typ klucza, długość klucza i czy DKIM jest zgodny z Twoją domeną From dla DMARC . Uruchomienie skanowania w ciągu kilku sekund poinformuje Cię, czy konfiguracja podpisywania działa.
Co sprawdza sprawdzający
- Selektor istnieje i zwraca prawidłowy klucz publiczny pod adresem selector._domainkey.yourdomain.com .
- Typ i wersja klucza są prawidłowe, na przykład v=DKIM1 i k=rsa.
- Siła klucza, przy czym preferowany jest tryb 2048-bitowy zamiast słabszego 1024-bitowego.
- Czy domena podpisująca w d= jest zgodna z widoczną domeną Od dla DMARC .
- Aby żadne błędy składniowe ani obcięte klucze nie spowodowały niepowodzenia weryfikacji.
Dlaczego sprawdzasz selektor, a nie samą domenę
Klucze DKIM nie znajdują się w katalogu głównym Twojej domeny. Znajdują się one pod selektorem, więc zwykłe wyszukiwanie domeny ich nie znajdzie. Musisz wiedzieć, jakich selektorów używają Twoje platformy, ponieważ każda usługa pocztowa podpisuje się za pomocą własnego. Wiadomość z narzędzia marketingowego i wiadomość z centrum pomocy mogą zawierać różne selektory i oba wymagają ważnych kluczy. Dobry moduł sprawdzający sprawdza prawdziwe nagłówki wiadomości lub pozwala przetestować każdy selektor według nazwy.
Czytanie siły klucza
Długość klucza publicznego jest głównym sygnałem siły. Klucz 1024-bitowy nadal sprawdza się u większości odbiorców, ale łatwiej go zaatakować i niektórzy dostawcy obecnie go odradzają. Aktualnym zaleceniem jest 2048-bitowy klucz RSA. Jeśli Twój dostawca DNS ogranicza długość rekordu TXT , podziel wartość na ciągi znaków w cudzysłowie, aby pełny klucz został poprawnie opublikowany. Funkcja sprawdzania ostrzeże Cię, jeśli klucz będzie wyglądał na obcięty lub słaby.
Sprawdź cały zestaw uwierzytelniający
Sam DKIM nie powstrzymuje fałszowania. Połącz go z SPF i polityką DMARC w p=quarantine lub p=reject, i potwierdź, że DKIM jest zgodny z Twoją domeną From, aby DMARC mógł przejść.
Uruchom bezpłatne skanowanie domeny
EmailAuth uruchamia bezpłatne skanowanie domeny, które znajduje aktywne selektory DKIM , raportuje typ i siłę każdego klucza oraz pokazuje, czy DKIM jest dostosowany do DMARC . Sprawdza również rekordy SPF i DMARC w tym samym przebiegu, dzięki czemu widzisz pełny obraz uwierzytelnienia, a nie jego jedną część. Jeśli selektora brakuje, jest on słaby lub źle ustawiony, skanowanie powie Ci dokładnie, co należy naprawić.
Od sprawdzenia do monitorowania
Jednorazowa kontrola to migawka. Selektory są dodawane, gdy wdrażasz nowe narzędzia, klucze stają się nieaktualne, a dostawca może zmienić podpisywanie bez powiadamiania Cię. EmailAuth monitoruje selektory w czasie, oznacza słabe lub wygasłe klucze i ostrzega w przypadku przerwania wyrównania. Ciągłe monitorowanie sprawia, że DKIM działa w miarę zmian stosu wysyłającego.
Często zadawane pytania
Jak znaleźć selektor DKIM ?
Spójrz na nagłówek DKIM-Signature wysłanej wiadomości e-mail; znacznik s= jest selektorem, a znacznik d= jest domeną podpisującą. Możesz także sprawdzić instrukcje konfiguracji DNS swojej platformy e-mail, które zawierają nazwę selektora do opublikowania. Moduł sprawdzający DKIM może odczytać selektor bezpośrednio z nagłówka przykładowej wiadomości.
Dlaczego mój rekord DKIM nie pojawia się podczas wyszukiwania DNS ?
Klucze DKIM są publikowane pod selektorem, a nie w Twojej domenie głównej, więc zwykłe wyszukiwanie yourdomain.com ich nie znajdzie. Musisz wysłać zapytanie selector._domainkey.yourdomain.com z poprawną nazwą selektora. Jeśli użyjesz niewłaściwego selektora, rekord będzie wyglądał na brakujący, nawet jeśli DKIM jest poprawnie skonfigurowany.
Czy 1024-bitowy klucz DKIM jest nadal bezpieczny?
Nadal weryfikuje większość odbiorników, ale klucze 1024-bitowe są słabsze i niektórzy dostawcy obecnie ich odradzają. Obecne zalecenie to 2048-bitowy RSA. Uaktualnij, jeśli Twój DNS i platforma wysyłająca to obsługują, a skanowanie oznaczy każdy klucz, który nie spełnia wymagań.
Czy kontroler może mi powiedzieć, czy DKIM jest zgodny z DMARC ?
Tak. Wyrównanie oznacza, że domena podpisująca w tagu DKIM d= jest zgodna z widoczną domeną Od. Narzędzie sprawdzające DKIM lub pełne skanowanie domeny zgłasza, czy dopasowanie się utrzymuje, dzięki czemu DKIM spełnia DMARC i pozwala przejść do zasad egzekwowania.
Pochodzenie przedsiębiorstwa
Dlaczego najlepsze instytucje finansowe i rządy wycofali swoje panele bezpieczeństwa poczty e-mail.
Tradycyjne platformy uwierzytelniania poczty e-mail oferują pulpit nawigacyjny i proszą inżynierów o wykonanie pracy. W środowiskach o dużej stawce ręczny nadzór oznacza opóźnione egzekwowanie, zmianę konfiguracji i niemonitorowane domeny-cienie.
EmailAuth to platforma agentowego pochodzenia wiadomości e-mail. Nasi agenci egzekwują p=reject, dostosuj zewnętrznych nadawców i przenieś swoje domeny do pełnych adresów RFC 9989 zgodność, nowy standard DMARC , z możliwością kontroli przez człowieka.
SaaS · Dedykowany najem · Lokalne rozwiązanie typu air-gapped · Szyfrowanie BYOK