[Szybka odpowiedź]
Podpis DKIM to nagłówek DKIM-Signature dodawany do wiadomości e-mail. Zawiera domenę podpisującą ( d=), selektor ( s=), algorytm ( a=), podpisane nagłówki ( h=), skrót treści ( bh=) i sam podpis ( b=).
Kluczowe fakty
- ›d= must align with the From domain for DMARC.
- ›bh= is a hash of the body; any change after signing breaks it.
- ›Przekazywanie zwykle zachowuje DKIM , w przeciwieństwie do SPF .
Sprawdzone przez zespół badawczy EmailAuth
DKIM-Signature to nagłówek, który serwer wysyłający dodaje do każdej wiadomości. Zawiera podpis kryptograficzny w treści wiadomości i wybranym zestawie nagłówków, a także informacje potrzebne odbiorca do weryfikacji: która domena podpisała pocztę, który selektor przechowuje klucz publiczny i jaki algorytm został użyty. Odbiorca czyta ten nagłówek, pobiera klucz publiczny z DNS i potwierdza podpis. Przepustka oznacza, że poczta została autoryzowana przez Twoją domenę i nie została zmieniona podczas transportu.
Tagi wewnątrz DKIM-Signature
Nagłówek to zestaw par tag=value oddzielonych średnikami. Każdy znacznik mówi odbiorcy coś, czego potrzebuje, aby zweryfikować wiadomość. Najważniejsze są te.
- v: wersja DKIM , obecnie 1.
- a: algorytm podpisywania, na przykład rsa-sha256.
- d: domena podpisująca, domena, która bierze odpowiedzialność za wiadomość.
- s: selektor, który wskazuje klucz publiczny w DNS .
- bh: skrót treści wiadomości.
- b: rzeczywisty podpis kryptograficzny nad nagłówkami i skrótem treści.
- h: lista podpisanych pól nagłówka, na przykład od:temat:data:do.
Przykładowy nagłówek DKIM-Signature
v=1; a=rsa-sha256; d=example.com; s=s1; h=from:subject:date:to; bh=frcCV1k9oG9...; b=dzdVyOfAKCdLXd...
Jak działa weryfikacja
Kiedy wiadomość nadchodzi, odbiorca odczytuje domenę d= i selektor s=, a następnie wyszukuje klucz publiczny w s. _domainkey.d , na przykład s1._domainkey.example.com . Przelicza skrót treści i porównuje go ze znacznikiem bh, a następnie używa klucza publicznego do sprawdzenia podpisu b względem podpisanych nagłówków wymienionych w h. Jeśli oba pasują, DKIM przechodzi. Jeśli treść lub dowolny podpisany nagłówek uległy zmianie po wysłaniu, skróty różnią się i weryfikacja kończy się niepowodzeniem i w ten sposób DKIM wychwytuje manipulację.
Rola znaczników h i bh
Znacznik bh jest skrótem treści, więc każda zmiana w treści wiadomości powoduje jego uszkodzenie. Znacznik h określa, które nagłówki są chronione, a podpis b obejmuje dokładnie te nagłówki. Podpisanie z jest niezbędne, ponieważ jest to adres widoczny dla odbiorców. Sygnatariusze często pozostawiają skrót treści tolerujący końcowe białe znaki, więc zwykła obsługa poczty nie zepsuje podpisu, a jednocześnie wychwyci prawdziwe zmiany.
Podpis, wyrównanie i DMARC
Ważny podpis DKIM jest konieczny, ale niewystarczający dla DMARC . DMARC sprawdza również, czy domena d= jest zgodna z widoczną domeną Od. Kiedy są zgodne, DKIM jest wyrównany i może samodzielnie zaspokoić DMARC . SPF zapewnia drugą ścieżkę wyrównania. Ponieważ podpis DKIM podróżuje z wiadomością, często udaje mu się przetrwać przesyłanie dalej w przypadku awarii SPF , co sprawia, że wyrównanie DKIM jest cenne z punktu widzenia dotarcia do skrzynki odbiorczej.
Obserwując swoje podpisy na przestrzeni czasu
Podpisy mogą po cichu się zepsuć, gdy dostawca zmieni podpis, selektor zostanie wycofany lub klucz stanie się nieaktualny. EmailAuth odczytuje DKIM-Signature prawdziwej poczty, monitoruje selektory i oznacza słabe lub wygasłe klucze, zanim odbiorcy odrzucą Twoje wiadomości. Bezpłatne skanowanie domeny raportuje aktywne selektory, siłę klucza i to, czy DKIM jest zgodny z DMARC , dzięki czemu możesz potwierdzić, że każda ścieżka podpisywania jest sprawna.
Często zadawane pytania
Co oznacza znacznik b w DKIM-Signature ?
Znacznik b przechowuje rzeczywisty podpis kryptograficzny obliczony na podstawie podpisanych nagłówków i skrótu treści przy użyciu klucza prywatnego. Odbiorca weryfikuje to za pomocą klucza publicznego z DNS . Jeśli wartość b nie zostanie sprawdzona, DKIM zakończy się niepowodzeniem i wiadomość zostanie traktowana jako niepodpisana lub podejrzana.
Jaka jest różnica między tagami bh i b?
Znacznik bh jest skrótem samej treści wiadomości, zatem każda zmiana treści powoduje jego uszkodzenie. Znacznik b to podpis nad wybranymi nagłówkami plus skrót treści. Odbiorca najpierw sprawdza bh, następnie sprawdza b i oba muszą przejść pomyślnie, aby DKIM się powiódł.
Które nagłówki podpisuje DKIM ?
Znacznik h zawiera listę podpisanych nagłówków, zazwyczaj Od, Temat, Data i Do, chociaż dokładny zestaw wybiera osoba podpisująca. Od jest najważniejszy, ponieważ jest to adres, który widzą odbiorcy. Jakakolwiek zmiana podpisanego nagłówka po wysłaniu spowoduje przerwanie weryfikacji.
Dlaczego DKIM czasami nadal przechodzi po przekazaniu?
DKIM-Signature przemieszcza się wewnątrz wiadomości, zatem przekazywana dalej wiadomość e-mail zachowuje swój podpis nawet w przypadku zmiany adresu IP nadawcy. Dopóki podpisana treść i nagłówki pozostają nienaruszone, weryfikacja nadal przebiega pomyślnie. Dlatego DKIM radzi sobie z przesyłaniem lepiej niż SPF , który psuje się w przypadku zmiany serwera wysyłającego.
Dlaczego DKIM zawodzi?
Typowymi przyczynami są brakujący lub błędnie wpisany klucz publiczny, niezgodność selektora lub lista mailingowa lub brama zabezpieczeń zmieniająca wiadomość po jej podpisaniu.
[ DKIM przewodnik ]
Pochodzenie przedsiębiorstwa
Dlaczego najlepsze instytucje finansowe i rządy wycofali swoje panele bezpieczeństwa poczty e-mail.
Tradycyjne platformy uwierzytelniania poczty e-mail oferują pulpit nawigacyjny i proszą inżynierów o wykonanie pracy. W środowiskach o dużej stawce ręczny nadzór oznacza opóźnione egzekwowanie, zmianę konfiguracji i niemonitorowane domeny-cienie.
EmailAuth to platforma agentowego pochodzenia wiadomości e-mail. Nasi agenci egzekwują p=reject, dostosuj zewnętrznych nadawców i przenieś swoje domeny do pełnych adresów RFC 9989 zgodność, nowy standard DMARC , z możliwością kontroli przez człowieka.
SaaS · Dedykowany najem · Lokalne rozwiązanie typu air-gapped · Szyfrowanie BYOK