Bulabileceğiniz en güvenilir yer DKIM seçici bu DKIM-Signature araştırdığınız mesajın başlığı. s= değerini okuyun ve aynı imzanın d=signing etki alanıyla eşleştirin.
Seçici, doğrulama materyalinin nerede yayınlanacağını tanımlar. Görünen göndereni tanımlamaz veya imzanın geçtiğini kanıtlamaz. Bu kılavuz, alınan bir mesajdan doğru DNS adına kadar kanıtları takip eder, ardından aramanın neleri yapıp neleri yapamayacağını açıklar.
Orijinal alınan mesajı alın
Gerçek hizmet aracılığıyla ayrı bir alıcıya gönderilen kontrollü bir mesajı kullanın. Orijinal mesajı orada alındığı haliyle saklayın. İletilen bir ekran görüntüsü veya yeniden kaydedilen, düzenlenmiş bir mesaj, kanıtları atlayabilir veya değiştirebilir.
Her DKIM-Signature başlığını bulun. Bir mesaj birden fazla içerebilir. Her imza için, imzalama alanını ve seçiciyi ayrı ayrı kaydedin, ardından güvenilir alıcının doğrulama sonucunu ilişkilendirin.
- d: alan adını imzalama.
- s: seçici.
- a: imzalama/karma algoritması.
- h: seçili imzalı başlık listesi.
- bh ve b: vücut karması ve imza değerleri, DNS ortak anahtar kayıtları değil.
Bu alanlar şu şekilde tanımlanır: RFC 6376 §3.5.
Görünür Kimden alan adını değiştirmeyin d= anahtar aramayı oluştururken. Hizalama geçen imzalama kimliği ile görünen Kimden kimliği arasında daha sonra yapılan bir karşılaştırmadır.
Doğrulama adını oluşturma ve sorgulama
Altında RFC 6376 §3.6.2.1doğrulama adı aynı imzadaki iki değeri birleştirir:
<seçici>. _domainkey .<imzalama-alanı>
Bu sentetik örnekte imza şunu tanımlar:
Sentetik imzada d=example.com ve s=mail2026.
İlgili arama:
dig TXT mail2026._domainkey.example.com +hayırtüm +cevap
Bir sağlayıcı, anahtar yönetimini bir CNAME, o zinciri de inceleyin:
dig CNAME mail2026._domainkey.example.com +hayırtüm +cevap
Bunlar örnekleyici DNS kontrolleridir, yakalanan gerçek bir mesajın doğrulanması değildir. Gerçek imza değerlerini kullanın. Altında RFC 1034 §3.6.2, yayınlanan bir takma ad için amaçlanan hedefi takip edin ve doğrulama verilerinin zincir boyunca mevcut olduğunu tespit edin.
Genel DNS doğrulama anahtarı materyalini veya ona giden delegasyonu içerir. Özel imzalama anahtarı, yetkili imzalama sistemine aittir, bir TXT kaydı.
Aramayı doğrulama sonuçlarıyla birlikte yorumlayın
Açık anahtar yanıtı, çözümleyicinin o anda belirli doğrulama materyalini alabildiğini gösterir. Bir mesajın imza içerdiğini, ilgili özel anahtarın doğru kullanıldığını veya imzalı içeriğin bozulmadan kaldığını kanıtlamaz.
Anahtar mevcutsa ancak imza başarısız olursa doğrulama sonucunun tamamını inceleyin. İçerik değişiklikleri, hatalı biçimlendirilmiş veya uyumsuz anahtar veriler, imza kapsamı, zamana bağlı koşullar ve DNS gözlemleri farklı çözümler gerektirebilir.
Anahtar bulunamazsa tam olarak kontrol edin d= Ve s=, yetkili bölge, CNAME hedefi, anahtarın kullanımdan kaldırılması geçmişi ve çözümleyici hataları. Sadece bir pulu yeşile çevirmek için tahmin edilen bir seçiciyi yayınlamayın.
Orijinalin ilgili DKIM imzası yoksa seçici araması imzalamayı sağlayamaz. Gerçek gönderenin imzalamak üzere yapılandırılıp yapılandırılmadığını, hizmetin gerekli kimliği destekleyip desteklemediğini ve daha sonraki bir rotanın kanıtı değiştirip değiştirmediğini kontrol edin.
Birden fazla imzayı ve anahtar rotasyonunu yönetin
Her imza ve güvenilir sonucu için ayrı bir satır oluşturun. Bir hizmetin kendi geçiş imzası hizalanmamış olabilirken müşteri-alan imzası hizalamayı geçebilir. Başka bir mesajda başarısız bir müşteri alan adı imzası bulunabilir ve yalnızca ilgisiz bir geçiş imzası bulunabilir.
Döndürme için, yalnızca DNS hangi iki kaydın mevcut olduğunu değil, gerçek mesajın hangi seçicinin kullanıldığını kontrol edin. Yapılandırma durumu, imzalama geçişi ve halihazırda aktarılmakta olan iletiler arasındaki ilişkiyi koruyun. Eski bir seçicinin kullanımdan kaldırılması, kaydedilen veya geciken mesajların daha sonra doğrulanmasını etkileyebilir.
Microsoft 365 için şunu kullanın: kiracıya özel kurulum kılavuzu. Çalışma Alanı için şunu kullanın: seçili alan adı kurulum kılavuzu. Hiçbir sağlayıcının ortak seçici modeli, gerçek kanıtları okumanın yerini almamalıdır.
Gerçek hizmette imzalamayı onaylayın
Bir tedarikçi alan adınızın DKIM yapılandırılmışsa, ilgili iş akışı ve onu gerçekten imzalayan alan adı tarafından gönderilen bir mesajı göstermesini isteyin. Herkese açık bir anahtar, canlı imzalamanın kanıtı değil, bir yapılandırma bağımlılığıdır.
Bu, birden fazla aracın aynı görünür markayı kullandığı durumlarda önemlidir. Çalışan postaları, destek biletleri ve makbuzlarının farklı seçicileri, imza alanları ve sahipleri olabilir. Birinin başarılı bir şekilde kontrol edilmesi geri kalanının yerine geçemez.
İmza sahipliği ve yetki verme işlemlerini takip edin
Seçici envanterini hizmete, etki alanına, anahtar yönetim modeline ve işletme sahibine bağlı tutun. Bir anahtarın doğrudan kontrolünü sağlayıcıya yetki vermekten ayırın. Bir hizmet devre dışı bırakıldığında delegasyonu inceleyin.
Özel anahtar erişimini kısıtlayın ve şüphelenilen bir tehlikeye karşı verilecek yanıtı tanımlayın. Geçerli bir kamu kaydı, anahtar saklamanın sağlam olduğunun kanıtı değildir. Benzer şekilde geçerli bir imza, kapsanan içerik üzerinde alan adı düzeyinde bir iddia oluşturur; bir ödeme talebini onaylamaz veya hesabın ele geçirilmesini dışlamaz.
Yararlı kanıt zinciri; mesaj, imza kimliği, anahtar arama, güvenilir doğrulama ve hizalamadır. Bir sonraki incelemecinin tanıyı tekrarlayabilmesi için bu gözlemleri bir arada tutun.
Pratik paket servis
Orijinal mesajı, imza kimliklerini, DNS gözlemini ve güvenilir alıcı sonucunu bir arada tutun. Bu kanıt, eksik bir anahtarı imzasız bir mesajdan, başarısız bir imzadan veya geçen ancak hizalanmayan bir imzadan ayırt eder.
Ayrımı uygula
İki varsayımsal imzayla, d=example.com/s=mail2026 ve d=service.example.net/s=outbound, mail2026._domainkey.example.com ve outbound._domainkey.service.example.net ayrı ayrı sorgulayın. mail2026'yı asla ikinci d ile birleştirmeyin. Her arama zamanını ve güvenilir sonucu çiftinin yanında tutun. Daha sonra kaybolan bir anahtar, daha önce güvenilen bir alıcı gözlemini silmez.