[Szybka odpowiedź]
Aby skonfigurować DKIM , wygeneruj klucz na każdej platformie wysyłającej (lub za pomocą generatora DKIM ), opublikuj klucz publiczny jako rekord TXT lub CNAME na stronie selector._domainkey.yourdomain.com , włącz logowanie się na platformę i potwierdź przebieg podpisu za pomocą wyszukiwania DKIM lub analizy nagłówków.
Kluczowe fakty
- ›Domyślny selektor Google Workspace : google.
- ›Microsoft 365 używa rekordów CNAME selektor1 i selektor2.
- ›Użyj 2048-bitowych kluczy RSA, jeśli Twój host DNS dopuszcza długie wartości TXT .
Sprawdzone przez zespół badawczy EmailAuth
Konfiguracja DKIM obejmuje pięć kroków: wygenerowanie pary kluczy, opublikowanie klucza publicznego w DNS w selektorze, włączenie podpisywania na platformie wysyłającej, sprawdzenie, czy podpisy przechodzą i są zgodne z domeną Od, a następnie rotacja kluczy zgodnie z harmonogramem. Większość platform e-mailowych generuje klucze za Ciebie i udostępnia rekord do wklejenia do DNS , więc praca polega głównie na dokładnym kopiowaniu i weryfikacji. Po uruchomieniu DKIM jest on uwzględniany w wyrównaniu DMARC wraz z SPF .
Zanim zaczniesz
Wymień wszystkie usługi wysyłające pocztę za pomocą Twojej domeny: dostawcę skrzynek pocztowych, narzędzie marketingowe, pomoc techniczną, system rozliczeniowy i inne. Każdy z nich potrzebuje własnego klucza i selektora DKIM . Pominięcie usługi oznacza, że jej poczta może nie spełnić DKIM i po wymuszeniu DMARC wylądować w spamie lub zostać odrzucona. Skanowanie domeny pomoże Ci znaleźć nadawców, o których zapomniałeś.
- 1
1. Wygeneruj parę kluczy
Utwórz klucz publiczny i prywatny, najlepiej 2048-bitowy RSA. Większość platform robi to za Ciebie w swoich ustawieniach DKIM i przechowuje klucz prywatny po swojej stronie. Jeśli prowadzisz własny hosting, wygeneruj parę za pomocą narzędzi serwera pocztowego i bezpiecznie przechowuj klucz prywatny.
- 2
2. Opublikuj klucz publiczny w DNS
Dodaj rekord TXT pod adresem selector._domainkey.yourdomain.com , korzystając z selektora udostępnianego przez platformę. Wartość wygląda następująco: v=DKIM1; k=rsa; p=YOUR_PUBLIC_KEY. Jeśli klucz jest długi, podziel go na ciągi znaków w cudzysłowie, aby DNS zaakceptował pełną wartość.
- 3
3. Włącz podpisywanie
Włącz podpisywanie DKIM na swojej platformie wysyłającej, aby każda wychodząca wiadomość otrzymywała nagłówek DKIM-Signature . Potwierdź podpisanie umowy z selektorem i opublikowaną domeną.
- 4
4. Sprawdź podpisy i wyrównanie
Wyślij wiadomość testową na kontrolowaną przez siebie skrzynkę pocztową i sprawdź, czy w nagłówkach znajduje się przepustka DKIM . Upewnij się, że domena d= jest zgodna z domeną Od, aby DKIM był dostosowany do DMARC . Skanowanie sprawdzające lub domeny potwierdza siłę i wyrównanie jednym spojrzeniem.
- 5
5. Obróć klucze zgodnie z harmonogramem
Zaplanuj wymianę kluczy co sześć do dwunastu miesięcy. Opublikuj nowy selektor, przełącz na niego podpisywanie, sprawdź, czy zostało pomyślnie zakończone, a następnie usuń stary rekord, gdy poczta nie będzie już go używać.
Nagraj przykład
s1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ..." rozdzielony na ciągi w cudzysłowie, jeśli Twój DNS ogranicza długość rekordu.
Typowe błędy konfiguracyjne
- Wklejanie klucza z podziałami wierszy lub spacjami, które uszkadzają wartość.
- Publikowanie pod niewłaściwą nazwą selektora, przez co wydaje się, że brakuje rekordu.
- Używanie klucza 1024-bitowego, gdy dostępny jest klucz 2048-bitowy.
- Zapominając o usłudze wysyłania, więc jej poczta pozostaje niepodpisana.
- Włączanie podpisywania, ale nigdy nie sprawdzanie, czy domena jest zgodna z From dla DMARC .
Sprawdź, a potem egzekwuj
Po przejściu i wyrównaniu DKIM przesuń DMARC w stronę egzekwowania. Zacznij od p=none , aby oglądać raporty, potwierdź uwierzytelnienie wszystkich nadawców, a następnie przejdź do p=quarantine i p=reject. Od 2024 r. Google i Yahoo wymagają od nadawców zbiorczych uwierzytelniania, więc zweryfikowana konfiguracja DKIM jest częścią docierania do skrzynki odbiorczej. EmailAuth monitoruje selektory po konfiguracji, oznacza słabe lub nieaktualne klucze i potwierdza, DKIM pozostaje zgodny podczas dodawania nowych nadawców.
Często zadawane pytania
Jak długo DKIM działa po opublikowaniu rekordu?
Rekord DNS musi zostać rozpropagowany, co zwykle zajmuje kilka minut, ale może potrwać nawet jeden dzień, w zależności od dostawcy i TTL. Gdy klucz publiczny będzie widoczny w DNS i włączone zostanie podpisywanie, odbiorcy będą mogli zweryfikować Twoją pocztę. Wyślij wiadomość testową i sprawdź nagłówki, aby potwierdzić, że została pomyślnie wysłana.
Czy mogę używać jednego klucza DKIM do wszystkich moich narzędzi do wysyłania?
Lepiej jest nadać każdej usłudze własny selektor i klucz, ponieważ klucz prywatny pozostaje na tej platformie. Współdzielenie jednego klucza między narzędziami nie jest praktyczne, ponieważ każda platforma posiada własny klucz prywatny. Korzystanie z selektora dla każdej usługi ułatwia również rotację i rozwiązywanie problemów.
Jakiej długości klucza powinienem użyć dla DKIM ?
Użyj 2048-bitowego protokołu RSA, jeśli obsługuje go Twój dostawca DNS i platforma. Jest silniejszy od starszego standardu 1024-bitowego, do czego obecnie część odbiorników odradza. Jeśli długi klucz nie zmieści się w jednym ciągu TXT , podziel go na wiele ciągów w cudzysłowie.
Czy nadal potrzebuję SPF i DMARC jeśli skonfigurowano DKIM ?
Tak. DKIM potwierdza, że wiadomość została podpisana i niezmieniona, ale DMARC wiąże uwierzytelnianie z widoczną domeną Od i informuje odbiorców, co zrobić w przypadku niepowodzeń. SPF zapewnia drugą ścieżkę wyrównania. Wszystkie trzy razem są tym, czego Google i Yahoo oczekują od nadawców masowych.
Jak skonfigurować DKIM ?
Włącz DKIM na swojej platformie e-mailowej, skopiuj pokazany rekord DNS , opublikuj go, poczekaj na propagację DNS i kliknij zweryfikuj lub rozpocznij podpisywanie.
Jak długo działa DKIM ?
Zwykle od kilku minut do kilku godzin, w zależności od propagacji DNS i TTL Twojego dostawcy.
[ DKIM przewodnik ]
Pochodzenie przedsiębiorstwa
Dlaczego najlepsze instytucje finansowe i rządy wycofali swoje panele bezpieczeństwa poczty e-mail.
Tradycyjne platformy uwierzytelniania poczty e-mail oferują pulpit nawigacyjny i proszą inżynierów o wykonanie pracy. W środowiskach o dużej stawce ręczny nadzór oznacza opóźnione egzekwowanie, zmianę konfiguracji i niemonitorowane domeny-cienie.
EmailAuth to platforma agentowego pochodzenia wiadomości e-mail. Nasi agenci egzekwują p=reject, dostosuj zewnętrznych nadawców i przenieś swoje domeny do pełnych adresów RFC 9989 zgodność, nowy standard DMARC , z możliwością kontroli przez człowieka.
SaaS · Dedykowany najem · Lokalne rozwiązanie typu air-gapped · Szyfrowanie BYOK