[快速解答]
DKIM （網域金鑰識別郵件）為每封電子郵件新增加密簽章。發送伺服器使用私鑰進行簽名，接收者使用DNS中的公共金鑰進行驗證（位於selector._domainkey.yourdomain.com ）。它證明訊息來自您的網域並且未被更改（ RFC 6376 ）。
主要事實
- ›公鑰以TXT （或CNAME ）記錄發佈在 <selector> 處。 _domainkey .<域>。
- ›使用至少 2048 位元的 RSA 金鑰； 1024 位元金鑰被視為弱金鑰。
- ›一個網域可以有多個選擇器，每個發送服務一個。
- ›簽章中的 d= 域必須與DMARC的 From 一致。
- ›透過發布新的選擇器定期輪換密鑰。
由EmailAuth研究團隊審核
DKIM （網域金鑰識別郵件）是一種電子郵件驗證標準，它將加密簽章附加到網域發送的每封郵件。接收伺服器使用您的DNS中發布的公鑰來驗證該簽名。如果檢查通過，接收者就知道該訊息已獲得您的網域的授權，且訊息的關鍵部分在傳輸過程中沒有被更改。 DKIM與SPF和DMARC合作，證明您的郵件是真實的，並將欺騙性郵件排除在收件匣之外。
DKIM工作原理
DKIM使用公鑰和私鑰對。您的發送伺服器保存私鑰並用它簽署每個傳出訊息。匹配的公鑰位於由選擇器建構的位置的DNS TXT記錄中，例如selector1._domainkey.example.com 。當接收者收到您的訊息時，它會從DKIM-Signature標頭讀取選擇器和網域，從DNS取得公鑰，並確認簽章。有效簽名意味著郵件是由持有您私鑰的一方簽署的，並且簽署的內容在傳輸過程中沒有更改。
- 私鑰：儲存在您的發送平台上，永不共享；它產生簽名。
- 公鑰：在選擇器的DNS中發布，以便任何接收者都可以驗證。
- 選擇器：一個標籤，可讓您同時執行多個鍵，例如每個發送服務一個。
- 簽名：新增至郵件內文和選擇標頭的DKIM-Signature標頭。
簽名涵蓋什麼內容
DKIM對郵件正文的雜湊值以及一組選定的標頭（通常是「寄件者」、「主題」、「日期」和「收件者」）進行簽名。如果發送後任何簽名欄位發生變化，則雜湊值不再匹配並且驗證失敗。這就是DKIM檢測篡改的原因。它不加密訊息；它證明來源和完整性，而不是機密性。
DKIM對齊和DMARC
透過DKIM簽名只是DMARC故事的一半。 DMARC也會檢查對齊情況，這表示DKIM簽章中的網域（d= 標記）必須與可見寄件者位址中的網域相符。當簽章域和寄件人域對齊時， DKIM已對齊並且可以滿足DMARC 。 SPF提供了第二條對齊路徑，因此大多數寄件者都會配置這兩種路徑。至少達成一致可以讓您將DMARC從監控轉向強制執行。
DKIM記錄是什麼樣的
selector1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ..."其中 v 是版本，k 是金鑰類型，p 是公鑰。
為什麼DKIM現在很重要
2024 年，Google 和Yahoo開始要求大量寄件者使用SPF 、 DKIM和DMARC進行身分驗證。未通過這些檢查的郵件可能會被限製或拒絕。 DKIM也比SPF更好地承受轉發，因為只要簽名內容保持不變，即使發送 IP 發生更改，轉發的訊息也會保留其簽名。強大的DKIM現在是大規模到達收件匣的基線。
維持DKIM健康
在DNS和平台允許的情況下使用 2048 位元 RSA 金鑰，因為 1024 位元金鑰較弱，並且有些接收者會懷疑它們。按計劃輪換密鑰，並淘汰不再使用的選擇器。 EmailAuth監視您的活動選擇器、標記弱或過時的金鑰，並顯示DKIM是否與DMARC對齊。免費的網域掃描一次性報告您的活動選擇器、金鑰強度和對齊情況，以便您可以在接收者之前修復間隙。
常見問題
DKIM會加密我的電子郵件嗎？
不會DKIM新增了一個加密簽名，證明郵件來自您的網域並且在傳輸過程中沒有被更改。它保護來源和完整性，而不是機密性。除非您使用單獨的傳輸加密，否則任何攔截它的人仍然可以讀取訊息正文本身。
什麼是DKIM選擇器？
選擇器是指向DNS中特定公鑰的標籤。它允許您一次發布多個DKIM鑰，例如為每個發送服務發布不同的金鑰。接收者從DKIM-Signature標頭中讀取選擇器，並使用它在selector._domainkey.yourdomain.com中尋找正確的公鑰。
如果我已經有SPF了，還需要DKIM嗎？
是的。 SPF和DKIM檢查不同的內容，而DMARC可以對其中任一內容進行調整。 DKIM比SPF更能承受轉發，因此同時擁有兩者可以為您提供更強大的DMARC對齊途徑。 Google 和Yahoo現在希望批量寄件者同時使用SPF 、 DKIM和DMARC 。
我應該多久輪換一次DKIM鑰？
常見的做法是每六到十二個月更換一次密鑰，如果您懷疑密鑰已暴露，則應盡快更換。輪換限制了私鑰洩漏造成的損害。 EmailAuth會標記過時的金鑰，以便您知道選擇器何時逾期刷新。
電子郵件中的DKIM是什麼？
它是添加到訊息標頭中的數位簽名，可讓接收者驗證發送域以及內容在傳輸過程中未更改。
DKIM如何運作？
寄件者對選定的標頭和正文進行哈希處理，使用私鑰對哈希進行簽名，並添加DKIM-Signature標頭。接收方使用選擇器從DNS取得公鑰並驗證簽章。
您可以有多個DKIM記錄嗎？
是的，每個選擇器一個。每個發送服務通常都有自己的選擇器和金鑰。
如何設定DKIM ？
在每個發送服務中啟用DKIM ，發布它為您提供的TXT或CNAME記錄，然後使用DKIM查找進行驗證。
[ DKIM 指導 ]
企業出處
為什麼頂級金融機構和政府 退役了他們的電子郵件安全儀表板。
傳統的電子郵件驗證平台會向您出售儀表板並要求您的工程師來完成這項工作。在高風險環境中，手動監督意味著延遲執行、配置漂移和不受監控的影子域。
EmailAuth是代理電子郵件來源平台。 我們的代理人強制執行 p=reject，保持第三方寄件者一致並將您的網域移至完整狀態 RFC 9989 合規性、新的DMARC標準，以及人機互動審核能力。
SaaS · 專用租賃 · 氣隙本地部署 · BYOK 加密