DKIM: podpis pod Vašo pošto

Modul 4: Zapisi za e-pošto · Čas branja: 8 minut

Učni cilj: Po tej lekciji boste znali razložiti, kako deluje DKIM, poiskati in preveriti DKIM zapis ter pravilno nastaviti DKIM zapis zunanje storitve (kot TXT ali kot CNAME).

Ključni pojmi: DKIM, digitalni podpis, zasebni ključ in javni ključ, selektor, _domainkey, d= in s=, v=DKIM1; k=rsa; p=, DKIM prek CNAME, rotacija ključev

Pečat na vsaki pošti

SPF (lekcija 4.3) preveri, s katerega strežnika prihaja pošta. DKIM (DomainKeys Identified Mail, RFC 6376) deluje drugače: na samo pošto postavi digitalni podpis.

Deluje takole:

1. Pošiljajoči poštni strežnik ima skrivni zasebni ključ. S tem ključem za vsako pošto izdela podpis nad najpomembnejšimi deli: pošiljateljem, zadevo, datumom in vsebino.
2. Ta podpis potuje skupaj s pošto v glavi DKIM-Signature.
3. Pripadajoči javni ključ je zapisan v DNS domene, v obliki TXT zapisa.
4. Prejemnik pridobi ta javni ključ in preveri podpis. Če se ujema, ve dve stvari: pošto je resnično podpisal nekdo, ki upravlja DNS te domene, in pošta med potjo ni bila spremenjena.

Lepota DKIM je v tem, da deluje tudi, ko je pošta posredovana naprej, dokler se vsebina ne spremeni. S tem ima SPF težave.

Kje je ključ? Selektor

Domena ima lahko več DKIM ključev: enega od Vašega lastnega poštnega strežnika, enega od Microsoft 365, enega od Vaše storitve za novičke. Da jih ločimo med seboj, ima vsak ključ ime, imenovano selektor.

V podpisu sta dve pomembni polji:

DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=mail2026; ...

• d=example.com: domena, ki podpisuje.
• s=mail2026: selektor.

Prejemnik nato poišče ključ pod tem imenom:

<selector>._domainkey.<domein>
mail2026._domainkey.example.com

Del _domainkey je nespremenljiv. Zapis je videti na primer takole:

mail2026._domainkey.example.com. 3600 IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC..."

RSA ključ z dolžino 2048 bitov je običajna izbira; 1024 bitov je minimum (RFC 8301). Tak ključ je daljši od 255 znakov, zato je zapis sestavljen iz več delov besedila (lekcija 4.2). Večina nadzornih plošč to uredi samodejno.

Vaš lastni DKIM in tisti od storitev

Vaš gostovalni paket ali poštni strežnik. Na mnogih strežnikih je DKIM privzeto vklopljen, nadzorna plošča pa sama vnese zapis v DNS. Takrat vidite TXT zapis z imenom, kot je x._domainkey ali default._domainkey.

Če je DNS Vaše domene pri drugem ponudniku (na primer Cloudflare ali Vašem registrarju), Vaš poštni strežnik tam ne more sam vnesti zapisa. Potem ime in celotno vrednost prekopirate iz svoje nadzorne plošče za gostovanje in pri svojem DNS ponudniku ustvarite TXT zapis s točno tem imenom in vrednostjo. To ljudje pogosto pozabijo ob menjavi imenskih strežnikov: pošta nato nenadoma pogosteje konča v neželeni pošti.

Zunanje storitve. Microsoft 365, Google Workspace in storitve za novičke podpisujejo s svojim lastnim ključem. Od njih dobite enega ali več zapisov:

• Kot TXT, na primer Google Workspace: ime google._domainkey, vrednost v=DKIM1; k=rsa; p= z dolgim ključem zraven.
• Kot CNAME, na primer Microsoft 365 (selector1._domainkey in selector2._domainkey) ali Mailchimp (k2._domainkey in k3._domainkey). CNAME kaže na ključ, ki ga upravlja storitev sama. Prednost: storitev lahko zamenja svoj ključ, ne da bi Vam bilo treba kaj storiti.

Vsi ti zapisi imajo svoj lasten selektor in si zato ne nagajajo. Ko dodajate storitev, ne odstranite DKIM zapisa svojega lastnega poštnega strežnika.

Zakaj dva selektorja?

Storitve, kot je Microsoft 365, zahtevajo dva CNAME zapisa, selector1 in selector2. Podpisujejo z enim ključem naenkrat in ob določenih trenutkih preklopijo na drugega (rotacija ključev). Če nastavite samo selector1, deluje do prve menjave, nato pa DKIM naenkrat odpove. Zato vedno nastavite vse zapise, ki jih navede storitev.

Pogoste napake

• Podvojeno ime domene. Vnesete k2._domainkey.example.com v nadzorno ploščo, ki sama doda ime domene na konec. Rezultat: k2._domainkey.example.com.example.com. Vnesite samo k2._domainkey.
• TXT namesto CNAME (ali obratno). Uporabite točno tisto vrsto, ki jo navede storitev.
• Manjka pika na koncu cilja CNAME. V nadzornih ploščah, ki to zahtevajo: dkim2.mcsv.net. s piko.
• Okrnjen ključ. Pri kopiranju manjka zadnji del p=. Primerjajte začetek in konec z izvirnikom.
• DKIM vklopljen v nadzorni plošči storitve, vendar zapisi niso nastavljeni, ali obratno. Pri večini storitev morate najprej nastaviti zapise in šele nato v njihovem upravljalnem zaslonu vklopiti DKIM.

Preverjanje delovanja DKIM

Pošljite pošto na naslov pri velikem ponudniku (na primer Gmail) in si oglejte izvirnik (Prikaži izvirnik ali Prikaži vir). Poiščite dkim=pass in preverite, katera domena je navedena zraven. Lahko pošljete tudi pošto na testno storitev, kot je mail-tester.com. Zapis lahko tudi sami poizvedujete z orodjem DNS: poizvedujte TXT zapis za <selector>._domainkey.<domein>.

V praksi: tako je videti v nadzorni plošči

V tem primeru uporabljamo DirectAdmin. V razdelku Upravljanje DNS je TXT zapis z imenom x._domainkey; vrednost se začne z v=DKIM1; k=rsa; p=. Pod Upravitelj e-pošte, E-poštni računi je gumb za vklop ali izklop DKIM. CNAME zapis storitve ustvarite prek možnosti Dodajanje zapisa, vrsta CNAME, ime k2._domainkey, vrednost s piko na koncu.

V drugih nadzornih ploščah je DKIM včasih pod "E-poštna avtentikacija" ali "E-poštna varnost", vendar je zapis v DNS povsod enak.

Povzetek

• DKIM postavi digitalni podpis na vsako pošto; javni ključ je zapisan v DNS.
• Ključ je zapisan na <selector>._domainkey.<domein>. Selektor je naveden v podpisu (s=), prav tako domena (d=).
• Vsaka storitev ima svoj lasten selektor; zapisi različnih storitev obstajajo drug ob drugem.
• Storitve pogosto uporabljajo CNAME zapise in več selektorjev. Nastavite jih vse, s točno navedeno vrsto.
• Če je Vaš DNS pri drugem ponudniku, morate DKIM ključ svojega lastnega poštnega strežnika tam nastaviti sami.

Kviz

Naloga

Naloga Z4.4: Iskanje DKIM. Odprite pošto, ki ste jo prejeli od podjetja ali organizacije, in si oglejte izvirnik. V glavi DKIM-Signature poiščite domeno (d=) in selektor (s=). Vnesite oboje. Preverjanje poišče pripadajoči ključ.

Naloga O4.4: Samostojna nastavitev v vadbeni coni. V vadbeni coni uporabite navidezno storitev; pri svoji resnični domeni prevzamete pravi ključ ali CNAME od svojega poštnega strežnika ali storitve. Pri nalogi dobite vadbeni ključ (vrednost za p=). Ta ključ je dolg: prilepite ga v celoti, ne da bi kaj izpustili. V svoji vadbeni coni <code>.dnspractice.eu ustvarite:

1. TXT zapis na cursus._domainkey z vrednostjo v=DKIM1; k=rsa; p=<oefensleutel>;
2. CNAME zapis na k2._domainkey, ki kaže na dkim.newsletter-demo.dnspractice.eu. (s piko na koncu, če Vaša nadzorna plošča to zahteva).

Za nadaljnje branje

Koraki v teh člankih veljajo za nadzorne plošče WebOké; v drugih nadzornih ploščah deluje podobno.

• Priročnik DirectAdmin 5.8: DKIM vklopite in preverite
• Nastavitev DKIM, ko DNS teče prek zunanjega strežnika
• Priročnik DirectAdmin 5.4: Zapisi CNAME in pika na koncu
• Priročnik WebOké 6.7: Kartica Nastavitev e-pošte (MX, SPF, DKIM, DMARC)
• RFC 6376 (DKIM), RFC 8301 (dolžina ključa), RFC 8463 (Ed25519)