ne zaman bir DKIM anahtarı bir DNS kontrol panelinde görünüyor ancak doğrulama başarısız oluyorsa, doğrulayıcının gerçekte aldığı yanıtı inceleyin. Ekran görüntüleri kesilmiş bir değeri, yinelenen bir alan adı son ekini veya birden çok bağımsız kaydı gizleyebilir. Görev, imzalayanı değiştirmeden önce tam sahip adını ve anahtar baytlarını belirlemektir.
Alınan imzadan başlayın
Okumak d= Ve s= etkilenenlerden DKIM-Signature. Arama adı bunları şu şekilde birleştirir: seçici. _domainkey.signing-domain. Sentetik bir mesaj d=example.com Ve s=notify bu nedenle kullanır notify._domainkey.example.com. Şu tarihte yayınlanan bir anahtar: notifications._domainkey.example.com tamir etmeyecektir.
İmzanın algoritmasını ve alıcının kesin nedenini kaydedin. Eksik anahtar, hatalı biçimlendirilmiş anahtar, uygun olmayan algoritma, imza uyumsuzluğu ve gövde karma uyumsuzluğu birbirinin yerine geçebilecek teşhisler değildir. Birden fazla imza mevcutsa bunların seçicilerini ve sonuçlarını ayrı tutun.
Bir TXT kaydını doğru şekilde yeniden oluşturun
DNS TXT kayıtları birden fazla karakter dizisi içerebilir. RFC 6376 §3.6.2.2 tek bir kayıt içindeki dizelerin kullanılmadan önce boşluk eklenmeden birleştirilmesini gerektirir. Uzun bir anahtarı tek bir kayıttaki dizelere bölmek, her biri bir parça içeren birden fazla TXT kaydı oluşturmaktan farklıdır. İkincisi, bir DKIM anahtarını yayınlamanın güvenli bir yolu değildir. Bölüm 3.6.2.2 benzersiz bir TXT kaydı gerektirir. seçici ve çoklu kayıt sonuçlarını tanımsız bırakır; bölüm 6.1.2'deki doğrulayıcı seçenekleri parçaları birleştirilebilir hale getirmez.
Bir DNS aracı tarafından gösterilen alıntılanan parçalar, kaydın bir sunumudur. Görüntü tırnaklarının gerçek anahtar baytları olduğunu varsaymayın ve karakterleri ayrım gözetmeksizin DNS arayüzünden kaldırmayın. Desteklenen giriş formatını takip edin, yetkili DNS sorgulayın ve yeniden oluşturulan değeri oluşturulan genel değerle karşılaştırın. RFC 1035 §3.3.14 TXT karakter dizisi gösterimini tanımlar.
Arayüz sınırlarındaki kesintileri, yapıştırılan satır etiketlerini, eksik ayırıcıları ve base64 değerinde yanlışlıkla yapılan düzenlemeleri inceleyin. Uzun kayıtlar, ilk ve son birkaç karakterin görsel olarak incelenmesine değil, tam bir karşılaştırmaya ihtiyaç duyar. Bu karşılaştırma için orijinal olarak oluşturulan kamu değerini koruyun; asla özel anahtar dosyasını değiştirmeyin.
Etiketleri ve anahtar materyali birlikte doğrulayın
Altında RFC 6376 §3.6.1, p= etiketi genel anahtar verilerini taşır. Boş bir değer, kısmen tamamlanmış bir kurulum değil, iptal edildiği anlamına gelir. k= etiketi, RFC 6376 RSA'nın varsayılan olduğu anahtar türünü tanımlar; Ed25519 tarafından tanımlanan uzantıyı kullanır RFC 8463 §4.2. RFC 6376 bölüm 3.6.1, anahtar kaydını resmi olarak işaretler v= etiketi ÖNERİLMİŞTİR; DKIM1 olmadığında varsayılan etikettir. Eklenmişse ilk etiket olmalı ve değeri tam olarak DKIM1 olmalıdır; bu değer büyük/küçük harfe duyarlıdır.
Tüm kaydı ayrıştırmak ve kodu çözülmüş genel materyalin belirtilen anahtar türü için uygun olduğunu doğrulamak için bakımı yapılan bir DKIM uyumlu doğrulayıcı kullanın. Geçerli base64 tek başına içeriğin uygun bir RSA veya Ed25519 ortak anahtarı olduğunu kanıtlamaz. Benzer şekilde, sözdizimsel olarak geçerli bir kayıt, etkin özel imzalayan için yanlış genel anahtarı tutabilir.
Yayın katmanını imzalama katmanından ayırma
Açıklayıcı bir başarısızlık şunları içerir: 2048 bit RSA genel anahtarı iki ayrı TXT kaydına kopyalandı. Gösterimi DNS sağlayıcısının desteklediği çok dizeli tek kayıt formuna onarın, ardından yanıtı tekrar okuyun. Arayüz hatasını susturmak için nedenini ve güvenlik sonuçlarını incelemeden anahtarı kısaltmayın.
Doğru genel anahtar bozulmadan çözümleniyor ancak bir mesaj hala başarısız oluyorsa, aktif seçici eşlemesini, eşleşen anahtar çiftini, algoritmayı ve imzalı mesaj değişikliklerini araştırın. Kanıtlar başka yerleri işaret ederken aynı DNS verilerini yeniden yayınlamaya devam etmeyin. Sağlayıcı tarafından yönetilen CNAME nihai anahtar kaydına kadar takip edilmelidir; genel bir sözdizimi çözümü olarak yerel bir kopyayla değiştirilmemelidir.
Onarımı yeni bir mesajla kanıtlayın
Önbelleğe alınmış eski veya olumsuz cevaplar. Etkilenen uygulama aracılığıyla gönderin ve güvenilen alıcının sonucunu inceleyin. Düzeltilmiş sahip adını, yeniden oluşturulmuş kamu değerini veya özetini, üretilen değer karşılaştırmasını ve test kanıtlarını saklayın. Onarım, yalnızca DNS düzenleyicisinin formu kabul etmesiyle değil, alınan anahtar ile asıl imzalayanın aynı fikirde olmasıyla tamamlanır.
Gerçek bir anahtar olmadan yapıyı kontrol edin
Açıklayıcı tek kayıt sunumu: " v=DKIM1; k=rsa; p=AB" "CD". Birleştirme v=DKIM1; k=rsa; p=ABCD, AB ile CD arasında boşluk yok. ABCD kasıtlı olarak geçerli, kullanılabilir bir RSA genel anahtarı değildir; bu örnek yalnızca TXT yapısını gösterir ve yayınlanmamalıdır. p=AB ile biten ve CD içeren iki ayrı kayıt eşdeğer değildir. Gerçek üretilen değeri yeniden oluşturduktan sonra, DKIM uyumlu bir ayrıştırıcının yine de etiketlerini ve kodu çözülmüş anahtar materyalini doğrulaması gerekir.
İlgili okuma
DKIM TXT ve CNAME yayınlama: sağlayıcının anahtar yönetimi modelini takip edin · DKIM anahtar uzunluğu ve algoritmaları: mevcut alıcı desteğini kontrol edin.