[Snabbt svar]
DKIM (DomainKeys Identified Mail) lägger till en kryptografisk signatur till varje e-postmeddelande. Den sändande servern signerar med en privat nyckel och mottagare verifierar den med en offentlig nyckel publicerad i DNS på selector._domainkey.yourdomain.com . Det bevisar att meddelandet kom från din domän och inte ändrades ( RFC 6376 ).
Nyckelfakta
- ›Offentlig nyckel publicerad som en TXT post (eller CNAME ) vid <väljare>. _domainkey .<domän>.
- ›Använd RSA-nycklar på minst 2048 bitar; 1024-bitars nycklar anses vara svaga.
- ›En domän kan ha många väljare, en per sändande tjänst.
- ›D=-domänen i signaturen måste anpassas till From för DMARC .
- ›Rotera nycklar med jämna mellanrum genom att publicera en ny väljare.
Granskad av EmailAuth forskargrupp
DKIM (DomainKeys Identified Mail) är en standard för e-postautentisering som bifogar en kryptografisk signatur till varje meddelande som en domän skickar. Den mottagande servern använder en offentlig nyckel publicerad i din DNS för att verifiera signaturen. Om den checkar ut vet mottagaren att meddelandet godkändes av din domän och att viktiga delar av det inte ändrades på vägen. DKIM arbetar med SPF och DMARC för att bevisa att din e-post är äkta och för att hålla falska meddelanden borta från inkorgar.
Hur DKIM fungerar
DKIM använder ett offentligt och privat nyckelpar. Din sändande server har den privata nyckeln och signerar varje utgående meddelande med den. Den matchande publika nyckeln finns i en DNS TXT post på en plats byggd från din väljare, till exempel selector1._domainkey.example.com . När en mottagare får ditt meddelande läser den väljaren och domänen från DKIM-Signature huvudet, hämtar den publika nyckeln från DNS och bekräftar signaturen. En giltig signatur betyder att e-postmeddelandet signerades av en part som innehar din privata nyckel och att det signerade innehållet inte ändrades under transporten.
- Privat nyckel: lagras på din sändningsplattform och delas aldrig; den producerar signaturen.
- Offentlig nyckel: publicerad i DNS vid väljaren så att alla mottagare kan verifiera.
- Väljare: en etikett som låter dig köra flera nycklar samtidigt, till exempel en per sändande tjänst.
- Signatur: DKIM-Signature huvudet läggs till meddelandetexten och välj rubriker.
Vad signaturen täcker
DKIM signerar en hash av meddelandetexten plus en vald uppsättning rubriker, vanligtvis Från, Ämne, Datum och Till. Om något signerat fält ändras efter att ha skickats, matchar inte hashen längre och verifieringen misslyckas. Det är därför DKIM upptäcker manipulering. Den krypterar inte meddelandet; det bevisar ursprung och integritet, inte konfidentialitet.
DKIM alignment och DMARC
En godkänd DKIM -signatur är bara halva historien för DMARC . DMARC kontrollerar också justering, vilket innebär att domänen i DKIM signaturen (d=-taggen) måste matcha domänen i den synliga Från-adressen. När signeringsdomänen och From-domänen är i linje, är DKIM anpassat och kan uppfylla DMARC . SPF erbjuder en andra väg till justering, så de flesta avsändare konfigurerar båda. Att få minst en justerad är det som låter dig flytta DMARC från övervakning till verkställighet.
Hur en DKIM -skiva ser ut
selector1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ..." där v är versionen, k är nyckeltypen och p är den offentliga nyckeln.
Varför DKIM är viktigt nu
2024 började Google och Yahoo kräva att bulksändare skulle autentisera med SPF , DKIM och DMARC . E-post som inte klarar dessa kontroller kan strypas eller avvisas. DKIM överlever också vidarebefordran bättre än SPF , eftersom ett vidarebefordrat meddelande behåller sin signatur även när den sändande IP-adressen ändras, så länge det signerade innehållet förblir intakt. Stark DKIM är nu en baslinje för att nå inkorgen i stor skala.
Håller DKIM frisk
Använd 2048-bitars RSA-nycklar där din DNS och plattform tillåter det, eftersom 1024-bitarsnycklar är svagare och vissa mottagare behandlar dem med misstänksamhet. Rotera nycklar enligt ett schema och dra tillbaka väljare som du inte längre använder. EmailAuth övervakar dina aktiva väljare, flaggar svaga eller inaktuella nycklar och visar om DKIM är justerat för DMARC . En gratis domänskanning rapporterar dina aktiva väljare, nyckelstyrka och justering i ett enda steg så att du kan fixa luckor innan mottagare gör det.
Vanliga frågor
Krypterar DKIM min e-post?
Nej. DKIM lägger till en kryptografisk signatur som bevisar att meddelandet kom från din domän och inte ändrades under överföringen. Det skyddar ursprung och integritet, inte konfidentialitet. Själva meddelandetexten är fortfarande läsbar för alla som fångar upp den om du inte använder separat transportkryptering.
Vad är en DKIM väljare?
En väljare är en etikett som pekar på en specifik offentlig nyckel i din DNS . Det låter dig publicera flera DKIM nycklar samtidigt, till exempel en annan för varje sändande tjänst. Mottagaren läser väljaren från DKIM-Signature -huvudet och använder den för att hitta rätt publik nyckel på selector._domainkey.yourdomain.com .
Behöver jag DKIM om jag redan har SPF ?
Ja. SPF och DKIM kontrollerar olika saker, och DMARC kan anpassas till båda. DKIM överlever vidarebefordran bättre än SPF , så att ha båda ger dig en starkare väg till DMARC anpassning. Google och Yahoo förväntar sig nu att masssändare använder SPF , DKIM och DMARC tillsammans.
Hur ofta ska jag rotera DKIM nycklar?
En vanlig praxis är att rotera nycklar var sjätte till tolfte månad, och tidigare om du misstänker att en nyckel har exponerats. Rotation begränsar skadan från en läckt privat nyckel. EmailAuth flaggar inaktuella nycklar så att du vet när en väljare är försenad för en uppdatering.
Vad är DKIM i e-post?
Det är en digital signatur som läggs till meddelandehuvuden som låter mottagare verifiera den sändande domänen och att innehållet inte ändrades under överföringen.
Hur fungerar DKIM ?
Avsändaren hashmarkerar valda rubriker och brödtexten, signerar hashen med en privat nyckel och lägger till en DKIM-Signature . Mottagaren hämtar den publika nyckeln från DNS med hjälp av väljaren och verifierar signaturen.
Kan du ha flera DKIM poster?
Ja, en per väljare. Varje sändande tjänst får vanligtvis sin egen väljare och nyckel.
Hur ställer jag in DKIM ?
Aktivera DKIM i varje sändande tjänst, publicera TXT eller CNAME -posten den ger dig och verifiera sedan med en DKIM uppslagning.
[ DKIM guide ]
Företagets härkomst
Varför toppfinansiella institutioner och regeringar avvecklat sina instrumentpaneler för e-postsäkerhet.
Traditionella plattformar för e-postautentisering säljer dig en instrumentpanel och ber dina ingenjörer att göra jobbet. I miljöer med hög insats innebär manuell övervakning försenad tillämpning, konfigurationsdrift och oövervakade skuggdomäner.
EmailAuth är den agentiska e-postplattformen. Våra agenter verkställer p=reject, håll avsändare från tredje part i linje och flytta dina domäner till fulla RFC 9989 överensstämmelse, den nya DMARC standarden, med auditerbarhet för människor i slingan.
SaaS · Dedikerad hyresavtal · Air-gapped on-prem · BYOK-kryptering