Separerande DKIM nycklar via postström kan göra rotation, incidentinneslutning och felsökning enklare. Det skapar inte automatiskt separata domänrykte eller begränsar en nyckel till en kategori av meddelanden. Design kring den auktoritet varje undertecknare får och de faktiska tjänster som använder den.
Definiera strömmarna operativt
Lista applikationer och leverantörer bakom transaktionsmeddelanden, kampanjer och anställdas e-post. Inkludera schemalagda jobb och viktiga meddelanden med låg volym. För varje rutt registrera domänen Från domän, förväntad signering, väljare, förvaringsinstitut med privat nyckel, DNS ägare och krav på återställning av företag.
Använd distinkta väljare där plattformarna stödjer dem. Under RFC 6376 §3.1, identifierar en väljare verifieringsdata under signeringsdomänen, så olika väljare kan förhindra att oberoende hanterade nycklar kolliderar med ett uppslagsnamn. Anta inte att ett byte av namn på en väljare skapar en ny privat nyckel eller att en plattform tillåter oberoende rotation av varje ström.
Bestäm om domäner också behöver separeras
Väljare organiserar nyckelsökning, inte meddelandesyftet. En privat nyckel auktoriserad under d=brand.example är inte begränsad av väljaretiketten till fakturor eller kampanjer. Om finare auktoritetsgränser behövs kan du överväga stödda signeringsunderdomäner tillsammans med åtkomstkontroller och explicita Från-domän-val.
DMARC inriktning måste förbli en del av den designen. En signatur från en underdomän kan anpassas till en överordnad författaredomän under avslappnade regler när relationen mellan organisation och domän är kvalificerad. Strikt anpassning kräver den exakta domänen under RFC 9989 §3.2.10.2. Upptäckt av organisationsdomäner måste följa RFC 9989 §4.10.2 snarare än en naiv jämförelse mellan två etiketter.
Arbeta igenom ett isoleringsexempel
Illustrativ design: transaktionspost använder selector tx1, kampanjer använder mk1 och personal mail använder emp1, alla med d=brand.example men distinkta privata nycklar. Att återkalla mk1 behöver inte ta bort tx1:s eller emp1:s publika nycklar. En angripare som innehar den privata nyckeln mk1 kan dock fortfarande signera meddelanden under brand.example ; namnet mk1 upprätthåller inte enbart marknadsföringstillstånd.
Detta innebär att separata väljare minskar viss operativ koppling samtidigt som de lämnar auktoritet för delad domän. Separata referenser, godkända avsändarkontroller och eventuellt signeringsdomäner behövs för den starkare gränsen. Dessa är föreslagna kontroller, inte ett påstående att varje leverantör avslöjar dem.
Planera rotation och felåterställning per ström
Ge varje stream ett oberoende förändringsfönster och testset. Transaktionstester bör inkludera tidskänsliga kontomeddelanden; kampanjtester bör inkludera mall- och bearbetning av prenumeration; medarbetartester bör utöva relevanta utgående gateways. Se till att innehållsförändrande komponenter agerar före den slutgiltiga undertecknaren.
För ordinarie rotationer, bevara nödvändigt gammalt verifieringsmaterial tills de godkända kö- och utgångsvillkoren är uppfyllda. För komprometterade nycklar, låt inneslutningskraven avgöra pensioneringen snarare än att blint behålla överlappningen. En delad privat nyckel försvinner mycket av fördelarna med separata väljarnamn.
Mät gränsen du byggt
Håll ett rutt-till-nyckel-register och daterat mottagna meddelandebevis. Testa om rotation av en ström påverkar en annan, men hävda inte att detta hände om du inte faktiskt körde testet. Granska leverantörens offboarding för både väljarposter och kontobehörigheter.
Framgång är en förklarlig uppsättning oberoende vårdnadshavare, förändringar och återhämtningsvägar. Rykte och placering i inkorgen kräver sina egna bevis; en DKIM väljararkitektur kan inte heller lova.
Kontrollera en betongisoleringsmodell
Ett syntetiskt register tilldelar tx1/key-T till applikationsteamet, mk1/key-M till kampanjleverantören och emp1/key-E till postoperationer. Alla tecken som brand.example . I denna illustrativa inventeringsmodell lämnar borttagning av mk1 tx1 och emp1 i den bibehållna uppsättningen. Denna granskning utförde inte en riktig rotation eller inspekterade privata nycklar. Det bevisar inte att privata nycklar skiljer sig åt hos en riktig hyresgäst eller att de rutterna fortfarande skickar. Om alla väljare istället använde samma privata nyckel, skulle denna separation på lagernivå inte ge oberoende nyckel-materialinneslutning.
Mottagande i rätt tid är inte bevis på isolering av DKIM nyckeln. Validera nyckelförvaring, stödda rotationskontroller och mottagna meddelanderesultat för varje faktisk ström innan du behandlar designen som testad.
Bevis som behövs för nästa beslut
Innan du godkänner exemplet, fråga om tx1, mk1 och emp1 har distinkt offentligt verifieringsmaterial, separat kontrollerad signeringsåtkomst och oberoende rotationsstöd. Offentliga fingeravtryck kan jämföra material men kan inte bevisa att en leverantör har isolerad privat vårdnad eller legitimation. Om administrationen delas, dokumentera den återstående vanliga felsökvägen istället för att kalla strömmarna helt isolerade.