A DKIM Diagnostyka braku klucza oznacza ogólnie, że weryfikator nie mógł znaleźć wymaganego klucza weryfikacyjnego do podpisu. Przydatnym punktem wyjścia jest treść komunikatu selektor i podpisanie domeny. Odgadnięcie wspólnego selektora lub zapytanie o widoczną domenę From może prowadzić do idealnie dokładnej odpowiedzi na błędne pytanie DNS .
Zachowaj oryginalną otrzymaną wiadomość i jej zaufany wynik uwierzytelnienia. Zapisz czas obserwacji, ponieważ klucz mógł ulec zmianie od czasu dostawy. Następnie sprawdź dokładny podpis wymieniony w wyniku; wiadomości mogą zawierać kilka podpisów z różnymi nazwami wyszukiwania i wynikami.
Uzyskaj dokładne pytanie DNS
Przeczytaj s i d z DKIM-Signature. W przypadku s=campaign7 i d=mailer.example, wyszukiwanie będzie wyglądać następująco: campaign7._domainkey.mailer.example . Selektor nie jest uniwersalną nazwą dostawcy, a domena podpisująca nie musi być taka sama jak widoczna domena Od. RFC 6376 §3.1, RFC 6376 §3.5 I RFC 6376 §3.6.2.1 zdefiniuj te elementy.
Zapytaj o nazwę i typ rekordu oczekiwany przez obsługiwaną konfigurację. Pod RFC 1034 §3.6.2, jeśli usługa korzysta z a CNAME, podążaj za nim do danych weryfikacyjnych i zdobądź cel pośredni. Sprawdź, czy nie ma błędów edytora DNS, np. dwukrotnego dodania sufiksu, rekord opublikowany w niewłaściwej strefie lub selektor skopiowany od innego najemcy.
Odróżnij nieobecność od niedostępności
Odpowiedź negatywna, która nie ustanawia odpowiedniego klucza, różni się od zapytania, w przypadku którego przekroczono limit czasu. RFC 6376 §6.1.2 wymaga PERMFAIL w przypadku braku klucza i zezwala na TEMPFAIL, gdy zapytanie o klucz nie odpowiada. Są to wyniki przetwarzania weryfikatora; dokładna etykieta wyświetlana w produkcie diagnostycznym może się różnić.
Przechwyć kod odpowiedzi DNS i odpowiedz, a nie tylko czerwony wskaźnik. Porównaj autorytatywne odpowiedzi z poglądem rekurencyjnym właściwym dla nieudanego odbiorcy, jeśli dostępne są dowody. Pomyślne późniejsze sprawdzenie na laptopie nie dowodzi, że klucz był dostępny w pierwotnym momencie oceny.
Użyj trójgałęziowego drzewa diagnostycznego
Po pierwsze, jeśli wiadomość nie zawiera DKIM-Signature , sprawdź konfigurację podpisywania, a nie wyszukiwanie selektora. Nie ma pary s i d specyficznej dla komunikatu do pobrania. Po drugie, jeśli podpis istnieje i brakuje jego klucza, sprawdź historię publikacji, migracji i emerytur. Po trzecie, jeśli klucz jest dostępny, ale skrót ciała lub podpis się nie powiedzie, przejdź do kontroli zawartości, dopasowania klucza lub kryptografii.
Przykładowy przypadek: wiadomość nazywa selektor old7, podczas gdy DNS zawiera tylko new8. Prawidłowe opublikowanie new8 nie może zweryfikować podpisu old7. Jeśli old7 został celowo wycofany, można spodziewać się błędu w przypadku opóźnionej lub zarchiwizowanej poczty. Jeśli old7 został przypadkowo usunięty, a jego klucz jest nadal godny zaufania, przywrócenie prawidłowych danych weryfikacyjnych może być odpowiednią, zatwierdzoną naprawą. Są to scenariusze diagnostyczne, a nie wykonane testy dzierżawy.
Po pobraniu sprawdź ważność klucza
Znalezienie odpowiedzi TXT nie kończy weryfikacji; RFC 6376 §3.6.1 I RFC 6376 §6.1.2 zdefiniuj składnię i walidację klucza. Zniekształcony klucz, pusta wartość p wskazująca unieważnienie lub niezgodny materiał klucza nie jest użytecznym kluczem weryfikacyjnym. Pod RFC 4592 §3.3.3, symbol wieloznaczny Rekord TXT może również dać odpowiedź, która nie ma znaczenia dla DKIM . Nie oznaczaj ponownie każdej bezużytecznej odpowiedzi jako brakującego selektora.
Użyj dokładnej, bieżącej wartości rekordu dostawcy lub znanej, autoryzowanej kopii zapasowej konfiguracji. Nigdy nie generuj losowego klucza publicznego w celu zaspokojenia potrzeb wyszukiwania: nie będzie on zgodny z kluczem prywatnym, który utworzył podpis. Unikaj zastępowania rekordów przy wyszukiwaniu udostępnionym bez sprawdzania innych nadawców i opóźnionych wiadomości.
Zweryfikuj poprawkę, korzystając z nowych dowodów
Po autoryzowanej naprawie sprawdź DNS i wyślij nową pocztę kontrolowaną za pośrednictwem dotkniętej trasy. Zachowaj otrzymany wynik, tożsamość podpisu i wyrównanie ocena. Jeśli oryginalna próbka zostanie teraz zweryfikowana, zapisz to jako późniejszą ponowną kontrolę, zamiast przepisywać historyczny wynik odbiorcy.
Zamknij incydent, podając brakującą nazwę, przyczynę, przywróconą zależność i środek zapobiegawczy. Inwentarz selektora i lista kontrolna wycofania redukują ryzyko ponownego wystąpienia skuteczniej niż wielokrotne dodawanie rekordów za każdym razem, gdy kontroler zgłosi kolor czerwony.
Zachowaj ograniczony wniosek
W przypadku starych 7 i nowych 8 zachowaj wyszukiwanie starego podpisu, zamiast kopiować bieżący selektor do rekordu zdarzenia. Brak klucza old7, przekroczenie limitu czasu i odwołanie pustego p to różne obserwacje. Późniejsze pomyślne ponowne sprawdzenie musi zachować późniejszy czas. W scenariuszu nauczania nie przeprowadzono żadnej naprawy ani weryfikacji podpisu.