Planlanmış bir DKIM rotasyon, halihazırda aktarılmakta olan iletiler için gereken doğrulama materyalini korurken, yeni postayı hangi özel anahtarın imzaladığını değiştirir. Yeni bir genel anahtar yayınlama, imzalayanı değiştirme ve eskisini kullanımdan kaldırma seçici ayrı aşamalardır.
İmzalama hizmeti ve desteklenen rotasyon prosedürüyle başlayın. Sağlayıcı tarafından yönetilen seçici delegasyon, doğrudan kuruluşunuz tarafından kontrol edilen anahtar çiftinden farklı bir işletim modeline sahiptir.
Geçerli imzalama durumunu oluşturma
Gerçek d= imzalama alanlarını ve s= seçicilerini tanımlamak için orijinal alınan mesajları kullanın. Bunları imzalama hizmeti, anahtar yönetimi modeli ve işletme sahibiyle ilişkilendirin.
Mevcut mesajlar tarafından kullanılmadan bir DNS kaydı mevcut olabilir. Bunun tersine, eski bir mesaj, artık yeni posta için etkin seçim olmayan bir seçiciye atıfta bulunabilir.
İlgili genel yanıtları ve yapılandırma durumunu kaydedin. Özel imzalama anahtarlarını bilette, envanter e-tablosunda veya genel DNS kaydında değil, yetkili imzalama sisteminde tutun.
Algoritmayı ve sağlayıcı gereksinimlerini onaylayın
Mevcut şifreleme kılavuzunu ve desteklenen doğrulama davranışını inceleyin. RFC 8301 §3 rsa-sha1'i hariç tutar ve RSA anahtar boyutu gereksinimlerini belirler; en az 2048 bitlik RSA anahtarlarını önerir. RFC 8463 §5 Ed25519-SHA256'yı ek bir yöntem olarak tanımlar.
Bir algoritmanın spesifikasyonu ve ilgili göndericilerin, sağlayıcıların ve alıcıların gerçek desteği farklı kanıtlardır. Bir üretim hizmetini, desteklenen yapılandırmasının kullanamayacağı bir yöntemle değiştirmeyin.
Sağlayıcı tarafından yönetilen imzalama için oluşturulan değerleri ve rotasyon sürecini izleyin. Bir DNS takma adı, ekibinize özel anahtarı veya manuel geçiş kontrolünü vermeden anahtar yönetimini devredebilir.
Geçişten önce yeni doğrulama materyalini yayınlayın
Desteklenen tasarımın yeni bir seçici kullanması durumunda, önce doğru genel doğrulama materyalini yayınlayın. Nihai sahibin adını, yanıtını ve varsa yetkilendirme zincirini onaylayın.
Desteklenen prosedürün izin verdiği durumlarda yeni bir anahtar için farklı bir seçici kullanın. Bir seçicinin altındaki anahtarın değiştirilmesi, eski anahtarla imzalanan mesajların değiştirilmeye karşı doğrulanamamasına neden olabilir.
Yeni DNS yanıtı doğru göründüğü için eski anahtarı kaldırmayın. Bu aşamada, imzalayanın değişmesi veya her alıcının amaçlanan materyali alabilmesi için yayını kurdunuz.
İmzalamayı değiştirin ve yeni mesajları doğrulayın
Yeni anahtarla imzalamaya başlamak için yetkili imzalama prosedürünü kullanın. Önemli rotalar üzerinden temsili mesajlar gönderin ve orijinal alınan imzaları ve güvenilir sonuçları inceleyin.
Sentetik rotasyonda, önceki postalar s=old2026 , yeni postalar ise s=new2026. Her iki genel doğrulama adı da planlanan çakışma sırasında kullanılabilir durumda kalırken, yeni alınan mesajlar amaçlanan seçiciyi ve geçen imzayı gösterir.
Bir ağ geçidi imzalamadan sonra mesajı değiştirirse, bu ağ geçidinden önce yapılan doğrudan test eksik olur. İş rotasının tamamını kontrol edin ve DMARC hizalama ham imza sonucunun yanı sıra.
Teslimat koşullarından emekliliği seçin
RFC 6376 §3.1 Postanın hala transit halinde olabileceği geçiş sırasındaki eşzamanlı yayını açıklar. Her kuruluş için tek bir evrensel örtüşme süresi sağlamaz.
Kuyrukları, yeniden deneme davranışını, beklenen teslimat gecikmelerini, DNS önbellek davranışını, ilgili imza süre sonu ve doğrulama ihtiyaçlarını değerlendirin. Seçilen çakışmanın nedenini ve varsa sağlayıcı kısıtlamalarını kaydedin.
Desteklenen süreç kapsamındaki eski doğrulama materyalini yalnızca değerlendirmenin haklı kıldığı durumlarda kullanımdan kaldırın. Kaydedilen bir mesajın daha sonra kontrol edilmesi, anahtarın kullanımdan kaldırılmasından sonraki orijinal teslim süresi sonucundan farklı olabilir.
Şüpheli uzlaşmayı farklı bir karar olarak değerlendirin
Rutin rotasyon sürekliliği amaçlamaktadır. Şüphelenilen bir özel anahtar ihlali, doğrulamanın eski postalar üzerindeki olası etkisine rağmen acil kısıtlama veya kullanımdan kaldırma gerektirebilir.
Kuruluşun olay sürecini ve imza sağlayıcısının desteklenen yanıtını takip edin. Kanıtları koruyun ve takası açıklayın. Aktif bir uzlaşma sırasında rutin bakıma uygun bir örtüşmenin uygun olacağına dair söz vermeyin.
Doğrulanabilir bir imza kaydıyla kapatın
Hizmeti, sahibi, eski ve yeni seçicileri, yayın kanıtlarını, kesinti gözlemini, örtüşme gerekçesini, emeklilik kararını ve temsilcinin aldığı sonuçları koruyun.
The seçici kılavuzu Kimlik aramayı açıklar. Microsoft 365 veya Workspace için bunların kiracıya özel veya seçili alan adı yapılandırma rehberliği. Yeni imzalama yolu doğrulandığında ve eski bağımlılık belgelenen bir nedenden dolayı kullanımdan kaldırıldığında rotasyon tamamlanmış olur.
Üç ayrı kabul kontrolü kullanın
Önerilen bu kontrol listesi bir kayıt tamamlanmış rotasyon. Geçişten önce, eski seçici kullanılabilir kalırken yeni seçicinin oluşturulan genel değere çözümlendiğini doğrulayın. Geçişten sonra, yeni alınan bir uygulama mesajı s=new2026 ve güvenilir geçişe sahip amaçlanan d alanını göstermelidir. Kullanımdan kaldırılmadan önce, kararlaştırılan kuyruk/yeniden deneme ve doğrulama koşullarının karşılandığını doğrulayın ve kararı kaydedin. İlgisiz bir uygulamadan geçiş, etkilenen rotayı kapatmaz. Örnek aralığını evrensel bekleme süresine dönüştürmeyin.