DKIM: parašas po Jūsų paštu

4 modulis: Įrašai el. paštui · Skaitymo trukmė: 8 min.

Mokymosi tikslas: Po šios pamokos galėsite paaiškinti, kaip veikia DKIM, rasti ir patikrinti DKIM įrašą, bei teisingai nustatyti išorinės paslaugos DKIM įrašą (kaip TXT arba kaip CNAME).

Pagrindinės sąvokos: DKIM, skaitmeninis parašas, privatusis ir viešasis raktas, selektorius, _domainkey, d= ir s=, v=DKIM1; k=rsa; p=, DKIM per CNAME, raktų rotacija

Antspaudas ant kiekvieno laiško

SPF (4.3 pamoka) tikrina, iš kurio serverio atkeliauja laiškas. DKIM (DomainKeys Identified Mail, RFC 6376) veikia kitaip: jis uždeda skaitmeninį parašą ant paties laiško.

Tai veikia taip:

1. Siunčiantis pašto serveris turi slaptą privatųjį raktą. Juo kiekvienam laiškui sukuriamas parašas, apimantis svarbiausias dalis: siuntėją, temą, datą ir turinį.
2. Šis parašas pridedamas prie laiško antraštės eilutės: DKIM-Signature.
3. Atitinkamas viešasis raktas saugomas domeno DNS, TXT įraše.
4. Gavėjas atsisiunčia tą viešąjį raktą ir patikrina parašą. Jei viskas sutampa, jis žino du dalykus: laišką iš tiesų pasirašė kažkas, kas valdo to domeno DNS, ir laiškas kelyje nebuvo pakeistas.

Puikus dalykas yra tas, kad DKIM veikia toliau net persiuntus laišką, jei tik turinys nekeičiamas. Būtent čia SPF turi sunkumų.

Kur saugomas raktas? Selektorius

Domenas gali turėti kelis DKIM raktus: vieną iš savo paties pašto serverio, kitą iš Microsoft 365, dar kitą iš naujienlaiškių paslaugos. Kad juos būtų galima atskirti, kiekvienas raktas turi pavadinimą, vadinamą selektoriumi.

Parašo antraštėje yra du svarbūs laukai:

DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=mail2026; ...

• d=example.com: domenas, kuris pasirašo.
• s=mail2026: selektorius.

Gavėjas ieško rakto pagal šį pavadinimą:

<selector>._domainkey.<domein>
mail2026._domainkey.example.com

Dalis _domainkey yra fiksuota. Įrašas atrodo, pavyzdžiui, taip:

mail2026._domainkey.example.com. 3600 IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC..."

2048 bitų RSA raktas yra įprastas pasirinkimas; 1024 bitai yra minimumas (RFC 8301). Toks raktas yra ilgesnis nei 255 simbolių, todėl įrašas sudarytas iš kelių teksto gabalų (4.2 pamoka). Dauguma valdymo skydelių tai sutvarko automatiškai.

Jūsų nuosavas DKIM ir paslaugų DKIM

Jūsų hostingo paketas arba pašto serveris. Daugelyje serverių DKIM yra įjungtas pagal numatytuosius nustatymus, o valdymo skydelis pats nustato įrašą DNS. Tada matysite TXT įrašą su pavadinimu, pvz., x._domainkey arba default._domainkey.

Jei Jūsų domeno DNS tvarko kita šalis (pavyzdžiui, Cloudflare arba Jūsų registratorius), Jūsų pašto serveris negali pats ten nustatyti įrašo. Tada nukopijuokite pavadinimą ir visą reikšmę iš hostingo valdymo skydelio ir sukurkite DNS tvarkytojo pusėje TXT įrašą su lygiai tuo pačiu pavadinimu ir reikšme. Tai dažnai pamirštama keičiant vardų serverius: tada paštas staiga dažniau patenka į šlamštą.

Išorinės paslaugos. Microsoft 365, Google Workspace ir naujienlaiškių paslaugos pasirašo savo pačių raktu. Iš jų gausite vieną ar kelis įrašus:

• Kaip TXT, pavyzdžiui, Google Workspace: pavadinimas google._domainkey, reikšmė v=DKIM1; k=rsa; p= su ilgu raktu po to.
• Kaip CNAME, pavyzdžiui, Microsoft 365 (selector1._domainkey ir selector2._domainkey) arba Mailchimp (k2._domainkey ir k3._domainkey). CNAME nurodo raktą, kurį tvarko pati paslauga. Privalumas: paslauga gali pakeisti savo raktą ir Jums nereikia nieko daryti.

Visi šie įrašai turi savo selektorių, todėl vienas kitam netrukdo. Pridėdami paslaugą, neišimkite savo paties pašto serverio DKIM įrašo.

Kodėl du selektoriai?

Tokios paslaugos kaip Microsoft 365 prašo dviejų CNAME įrašų, selector1 ir selector2. Jos pasirašo vienu raktu vienu metu ir reguliariai perjungia į kitą (raktų rotacija). Jei nustatysite tik selector1, tai veiks iki pirmo pasikeitimo, o po to DKIM iškart nustos veikti. Todėl visada nustatykite visus paslaugos nurodytus įrašus.

Dažnos klaidos

• Dvigubas domeno vardas. Įrašote k2._domainkey.example.com skydelyje, kuris pats prideda domeno vardą. Rezultatas: k2._domainkey.example.com.example.com. Įrašykite tik k2._domainkey.
• TXT vietoj CNAME (arba atvirkščiai). Naudokite lygiai tą tipą, kurį nurodo paslauga.
• CNAME tikslo pabaigoje trūksta taško. Skydeliuose, kurie to reikalauja: dkim2.mcsv.net. su tašku.
• Nukirstas raktas. Kopijuojant trūksta paskutinės p= dalies. Palyginkite pradžią ir pabaigą su originalu.
• DKIM įjungtas paslaugos skydelyje, bet įrašai nenustatyti, arba atvirkščiai. Daugelyje paslaugų pirma reikia nustatyti įrašus, o tik tada jų valdymo lange įjungti DKIM.

Patikrinkite, ar DKIM veikia

Nusiųskite laišką adresu, priklausančiu didelei paslaugų teikėjui (pavyzdžiui, Gmail), ir peržiūrėkite originalą (Rodyti originalą arba Rodyti šaltinį). Ieškokite dkim=pass ir pažiūrėkite, koks domenas nurodytas šalia. Arba nusiųskite laišką į patikros paslaugą, pvz., mail-tester.com. Įrašą galite patikrinti ir patys naudodami DNS įrankį: užklauskite TXT įrašo adresu <selector>._domainkey.<domein>.

Praktikoje: kaip tai atrodo valdymo skydelyje

Šiame pavyzdyje naudojame DirectAdmin. DNS administravimo skiltyje yra TXT įrašas su pavadinimu x._domainkey; reikšmė prasideda v=DKIM1; k=rsa; p=. Skiltyje El. pašto valdymas, El. pašto dėžutės yra mygtukas DKIM įjungti arba išjungti. CNAME paslaugai sukuriate per Įtraukti įrašą, tipas CNAME, pavadinimas k2._domainkey, reikšmė su tašku gale.

Kituose skydeliuose DKIM kartais nurodomas skiltyje „El. pašto autentifikavimas“ arba „El. pašto apsauga“, tačiau įrašas DNS visur yra toks pats.

Apibendrinimas

• DKIM uždeda skaitmeninį parašą ant kiekvieno laiško; viešasis raktas saugomas DNS.
• Raktas saugomas adresu <selector>._domainkey.<domein>. Selektorius nurodytas parašo lauke (s=), domenas taip pat (d=).
• Kiekviena paslauga turi savo selektorių; skirtingų paslaugų įrašai egzistuoja vienas šalia kito.
• Paslaugos dažnai naudoja CNAME įrašus ir kelis selektorius. Nustatykite visus, lygiai su nurodytu tipu.
• Jei Jūsų DNS tvarko kita šalis, savo pašto serverio DKIM raktą turite nustatyti ten pats.

Testas

Užduotis

Užduotis Z4.4: DKIM paieška. Atidarykite laišką, kurį gavote iš įmonės ar organizacijos, ir peržiūrėkite originalą. Antraštės eilutėje DKIM-Signature suraskite domeną (d=) ir selektorių (s=). Įveskite abu. Patikra suras atitinkamą raktą.

Užduotis O4.4: Pačiam nustatyti pratybų zonoje. Pratybų zonoje naudosite netikrą paslaugą; savo tikrame domene naudosite tikrą raktą arba CNAME iš savo pašto serverio ar paslaugos. Su užduotimi gausite pratybų raktą (reikšmę po p=). Šis raktas yra ilgas: įklijuokite jį visą, nieko nepraleisdami. Sukurkite savo pratybų zonoje <code>.dnspractice.eu:

1. TXT įrašą adresu cursus._domainkey su reikšme v=DKIM1; k=rsa; p=<oefensleutel>;
2. CNAME įrašą adresu k2._domainkey, nukreipiantį į dkim.newsletter-demo.dnspractice.eu. (su tašku gale, jei to reikalauja Jūsų skydelis).

Skaitykite daugiau

Šių straipsnių žingsniai galioja WebOké valdymo skydeliams; kituose skydeliuose viskas veikia panašiai.

• DirectAdmin vadovas 5.8: DKIM įjungimas ir patikrinimas
• DKIM nustatymas, kai DNS veikia išoriniame serveryje
• DirectAdmin vadovas 5.4: CNAME įrašai ir taškas pabaigoje
• WebOké vadovas 6.7: El. pašto nustatymo kortelė (MX, SPF, DKIM, DMARC)
• RFC 6376 (DKIM), RFC 8301 (rakto ilgis), RFC 8463 (Ed25519)