A DKIM installationen är klar när tjänsten signerar den avsedda posten och en mottagare kan validera den. En grön DNS status ensam etablerar inte något av resultaten. Välj TXT eller CNAME från leverantörens stödda nyckelhanteringsmodell, snarare än att behandla dem som utbytbara sätt att klistra in en nyckel.
Identifiera vem som hanterar nyckeln
En direkt publicerad TXT post bär DKIM -verifieringsdata. Med ett CNAME arrangemang kan väljare namn alias ett annat DNS namn där verifieringsdata hanteras. Den privata signeringsnyckeln hör hemma i signeringssystemet, aldrig i någon av de offentliga registren. RFC 6376 §3.6 och RFC 6376 §6.1.2 beskriva nyckelupptäckt och hämtning; DNS alias beteende definieras i RFC 1034 §3.6.2.
Microsoft 365 :s anpassade domänprocedur använder CNAME poster och klientgenererade destinationer. Dess nuvarande dokumentation är ett exempel på varför det är osäkert att kopiera ett äldre målmönster. Få de värden som visas för den faktiska hyresgästen och den valda domänen. Detta exempel innebär inte att en icke-relaterad tjänst accepterar samma poster.
Innan du redigerar DNS , registrera det sändande kontot, synligt Från domän, avsedd signeringsdomän, väljarnamn, posttyp, exakt genererade värden och ansvarig ägare. Fråga vilket system som utför rotation och vem som tar bort delegeringen när kontraktet går ut. Om leverantören inte kan använda den erforderliga signeringsdomänen skapas inte den möjligheten om du ändrar DNS posttypen.
Publicera med rätt ägarnamn
En illustrativ signatur med d=example.com och s=billing leder till billing._domainkey.example.com. Exemplet identifierar ett DNS ägarnamn, inte en fungerande offentlig nyckel eller produktions CNAME mål.
Kontrollera om DNS gränssnittet förväntar sig det fullständiga namnet eller endast fakturering. _domainkey. Vissa gränssnitt lägger till zonnamnet. Läs tillbaka det resulterande ägarnamnet istället för att anta att inmatningsrutan bevarade det. Inspektera befintliga data innan du ändrar namnet. En konventionell CNAME kan inte samexistera där med en separat TXT -nyckelpost; bevara icke-relaterade väljare och följ leverantörens stödda migreringsprocedur.
För TXT publicerar du det exakta offentliga värdet i representationen som stöds. För CNAME , använd den genererade destinationen, inte en kopierad nyckel som upptäckts på destinationen idag. Att kopiera den aktuella nyckeln lokalt kan bryta leverantörens senare rotationsmodell. Behåll skärmdumpar eller exporterade poster i ändringsposten, exklusive autentiseringsuppgifter och privata nycklar.
Verifiera upplösning och faktisk sändning separat
Fråga det exakta ägarnamnet mot auktoritativ DNS och kontrollera sedan rekursiv upplösning genom den sökväg som mottagarna kommer att använda. För CNAME , följ aliaset till det slutliga TXT resultatet och registrera eventuella timeout eller saknade mål. Tillåt gamla cachelagrade data, inklusive negativa svar, vid tolkning av oenighet. Publicering och global cachekonvergens är olika observationer.
Skicka sedan ett kontrollerat meddelande genom den verkliga applikationen. Bevara dess råa rubriker och det betrodda mottagande systemets autentiseringsresultat. Spela in d=, s= och DKIM -verifiering. Kontrollera inriktning med den synliga From-domänen separat. En giltig signatur från en leverantörsägd domän kan inte vara relaterad till den kundidentitet du tänkt autentisera.
Om DNS löser sig men e-posten är osignerad, undersök tjänstaktivering och routing. Om signaturen namnger en annan väljare, inspektera den väljaren istället för att upprepade gånger redigera den oanvända posten. Om verifieringen misslyckas efter innehållsändring är det inte reparerat att ändra TXT till CNAME .
Håll beroendet ansvarigt
Stäng ändringen endast när posten, undertecknaren och mottagna bevis överensstämmer. Lagra den tidigare konfigurationen och en auktoriserad återhämtningsplan före cutover. Vid offboarding, stoppa sändningsintegreringen och ta bort dess verifieringsberoende medvetet, med hänsyn till legitim post som fortfarande transporteras. Lämna inte ett oförklarat leverantörsalias på obestämd tid eller ta bort en aktiv väljare bara för att ett avtalskalkylblad säger att tjänsten har avslutats.
Relaterad läsning
DKIM DNS delegering: bedöm omfattningen av kontroll som beviljas en leverantör · Syntax med offentlig nyckel DKIM : identifiera trunkerade eller felaktiga DNS värden.
Tillämpa distinktionen
Använd en tredelad acceptanspost: publicerad ägare/typ/värde och observationstid; faktiska mottagna d/s och betrodd verifiering; anpassning till den avsedda författardomänen. Om DNS är korrekt men posten är osignerad, undersök aktivering eller ruttval istället för att ändra posttyp. Om en annan väljare avges, följ dessa bevis. Checklistan är föreslagit granskningsarbete, inte ett utfört DNS eller mailtest.