DKIM: paraksts zem Jūsu e-pasta

Modulis 4: Ieraksti e-pastam · Lasīšanas laiks: 8 minūtes

Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet izskaidrot, kā darbojas DKIM, atrast un pārbaudīt DKIM ierakstu, un pareizi ievietot ārēja pakalpojuma DKIM ierakstu (kā TXT vai kā CNAME).

Pamatjēdzieni: DKIM, digitālais paraksts, privātā atslēga un publiskā atslēga, selektors, _domainkey, d= un s=, v=DKIM1; k=rsa; p=, DKIM caur CNAME, atslēgu rotācija

Zīmogs uz katra e-pasta

SPF (4.3. nodarbība) pārbauda, no kura servera e-pasts nāk. DKIM (DomainKeys Identified Mail, RFC 6376) darbojas citādi: tas uzliek digitālu parakstu uz paša e-pasta.

Lūk, kā tas darbojas:

1. Nosūtītāja pasta serverim ir slepena privātā atslēga. Ar to tas katram e-pastam izveido parakstu par svarīgākajām daļām: sūtītāju, tēmu, datumu un saturu.
2. Šis paraksts tiek pievienots e-pasta galvenes rindā: DKIM-Signature.
3. Atbilstošā publiskā atslēga atrodas domēna DNS, TXT ierakstā.
4. Saņēmējs iegūst šo publisko atslēgu un pārbauda parakstu. Ja tas sakrīt, saņēmējs zina divas lietas: e-pasts patiešām ir parakstīts ar kādu, kurš pārvalda šī domēna DNS, un e-pasts ceļā nav mainīts.

Labā ziņa: DKIM turpina darboties, ja e-pasts tiek pārsūtīts tālāk, kamēr saturs netiek mainīts. Ar to SPF ir grūtāk.

Kur atrodas atslēga? Selektors

Domēnam var būt vairākas DKIM atslēgas: viena no Jūsu paša pasta servera, viena no Microsoft 365, viena no Jūsu jaunumu vēstkopas pakalpojuma. Lai tās atšķirtu, katrai atslēgai ir nosaukums, selektors.

Parakstā ir divi svarīgi lauki:

DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=mail2026; ...

• d=example.com: domēns, kas paraksta.
• s=mail2026: selektors.

Saņēmējs tad meklē atslēgu šādā nosaukumā:

<selector>._domainkey.<domein>
mail2026._domainkey.example.com

Daļa _domainkey ir nemainīga. Ieraksts izskatās, piemēram, šādi:

mail2026._domainkey.example.com. 3600 IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC..."

RSA atslēga ar 2048 bitiem ir parastā izvēle; 1024 biti ir minimums (RFC 8301). Šāda atslēga ir garāka par 255 rakstzīmēm, tāpēc ieraksts sastāv no vairākiem teksta gabaliem (4.2. nodarbība). Lielākā daļa paneļu to nokārto automātiski.

Jūsu paša DKIM un pakalpojumu DKIM

Jūsu hostinga pakete vai pasta serveris. Daudzos serveros DKIM pēc noklusējuma ir ieslēgts, un panelis pats ievieto ierakstu DNS. Tad Jūs redzēsiet TXT ierakstu ar nosaukumu, piemēram, x._domainkey vai default._domainkey.

Ja Jūsu domēna DNS atrodas pie cita pakalpojumu sniedzēja (piemēram, Cloudflare vai Jūsu reģistratora), tad Jūsu pasta serveris nevar pats tur ievietot ierakstu. Tādā gadījumā kopējiet nosaukumu un pilno vērtību no sava hostinga paneļa un izveidojiet pie sava DNS pakalpojumu sniedzēja TXT ierakstu ar tieši to pašu nosaukumu un vērtību. To bieži aizmirst, mainot vārdu serverus: pēc tam e-pasti biežāk nonāk surogātpastā.

Ārējie pakalpojumi. Microsoft 365, Google Workspace un jaunumu vēstkopas pakalpojumi paraksta ar savu atslēgu. No tiem Jūs saņemsiet vienu vai vairākus ierakstus:

• Kā TXT, piemēram, Google Workspace: nosaukums google._domainkey, vērtība v=DKIM1; k=rsa; p= ar garo atslēgu aiz tā.
• Kā CNAME, piemēram, Microsoft 365 (selector1._domainkey un selector2._domainkey) vai Mailchimp (k2._domainkey un k3._domainkey). CNAME norāda uz atslēgu, kuru pārvalda pats pakalpojums. Priekšrocība: pakalpojums var nomainīt savu atslēgu, Jums nekas nav jādara.

Visiem šiem ierakstiem ir savs selektors, tāpēc tie viens otram netraucē. Nenoņemiet sava paša pasta servera DKIM ierakstu, pievienojot pakalpojumu.

Kāpēc divi selektori?

Tādi pakalpojumi kā Microsoft 365 prasa divus CNAME ierakstus, selector1 un selector2. Tie paraksta ar vienu atslēgu vienlaicīgi un noteiktos laikos pāriet uz otru (atslēgu rotācija). Ja Jūs iestatāt tikai selector1, tas darbosies līdz pirmajai maiņai, un pēc tam DKIM uzreiz pārtrauks darboties. Tāpēc vienmēr iestatiet visus ierakstus, ko pakalpojums norāda.

Biežāk pieļautās kļūdas

• Dubultots domēna nosaukums. Jūs ierakstāt k2._domainkey.example.com panelī, kas pats pievieno domēna nosaukumu aiz tā. Rezultāts: k2._domainkey.example.com.example.com. Ierakstiet tikai k2._domainkey.
• TXT CNAME vietā (vai otrādi). Izmantojiet tieši to tipu, kuru norāda pakalpojums.
• Trūkst punkta CNAME mērķa beigās. Paneļos, kas to prasa: dkim2.mcsv.net. ar punktu.
• Atslēga nocirsta. Kopējot trūkst pēdējā p= daļa. Salīdziniet sākumu un beigas ar oriģinālu.
• DKIM ieslēgts pakalpojuma panelī, bet ieraksti nav iestatīti, vai otrādi. Lielākajā daļā pakalpojumu vispirms jāiestata ieraksti un tikai pēc tam to pārvaldības ekrānā jāieslēdz DKIM.

Kā pārbaudīt, vai DKIM darbojas

Nosūtiet e-pastu uz adresi pie liela pakalpojumu sniedzēja (piemēram, Gmail) un apskatiet oriģinālu (Rādīt oriģinālu vai Rādīt avotu). Meklējiet dkim=pass un apskatiet, kurš domēns tur norādīts. Vai arī nosūtiet e-pastu uz testēšanas pakalpojumu, piemēram, mail-tester.com. Ierakstu varat arī pats pieprasīt ar DNS rīku: pieprasiet TXT ierakstu priekš <selector>._domainkey.<domein>.

Praksē: kā tas izskatās panelī

Šajā piemērā izmantojam DirectAdmin. DNS Administration sadaļā atrodas TXT ieraksts ar nosaukumu x._domainkey; vērtība sākas ar v=DKIM1; k=rsa; p=. Zem E-mail Manager, E-mail Accounts atrodas poga, lai ieslēgtu vai izslēgtu DKIM. Pakalpojuma CNAME varat izveidot, izmantojot Add Record, tips CNAME, nosaukums k2._domainkey, vērtība ar punktu beigās.

Citos paneļos DKIM dažreiz atrodas sadaļā "E-pasta autentifikācija" vai "E-pasta drošība", bet ieraksts DNS ir visur vienāds.

Kopsavilkums

• DKIM uzliek digitālu parakstu katram e-pastam; publiskā atslēga atrodas DNS.
• Atslēga atrodas uz <selector>._domainkey.<domein>. Selektors ir norādīts parakstā (s=), domēns arī (d=).
• Katram pakalpojumam ir savs selektors; dažādu pakalpojumu ieraksti pastāv blakus, viens otram netraucējot.
• Pakalpojumi bieži izmanto CNAME ierakstus un vairākus selektorus. Iestatiet tos visus, ar precīzi norādīto tipu.
• Ja Jūsu DNS atrodas pie cita pakalpojumu sniedzēja, Jums pašam tur jāiestata sava pasta servera DKIM atslēga.

Tests

Uzdevums

Uzdevums Z4.4: DKIM meklēšana. Atveriet e-pastu, ko esat saņēmis no kāda uzņēmuma vai organizācijas, un apskatiet oriģinālu. Galvenes rindā DKIM-Signature atrodiet domēnu (d=) un selektoru (s=). Ievadiet abus. Pārbaude meklēs atbilstošo atslēgu.

Uzdevums O4.4: Pašrocīga iestatīšana Jūsu vingrināšanās zonā. Vingrināšanās zonā Jūs izmantojat fiktīvu pakalpojumu; savā īstajā domēnā Jūs pārņemat īsto atslēgu vai CNAME no sava pasta servera vai pakalpojuma. Uzdevumā Jūs saņemsiet vingrināšanās atslēgu (vērtību pēc p=). Šī atslēga ir gara: ielīmējiet to pilnībā, neko neizlaižot. Jūsu vingrināšanās zonā <code>.dnspractice.eu izveidojiet:

1. TXT ierakstu uz cursus._domainkey ar vērtību v=DKIM1; k=rsa; p=<oefensleutel>;
2. CNAME ierakstu uz k2._domainkey, kas norāda uz dkim.newsletter-demo.dnspractice.eu. (ar punktu beigās, ja Jūsu panelis to pieprasa).

Lasiet tālāk

Šajos rakstos aprakstītās darbības attiecas uz WebOké paneļiem; citos paneļos process ir līdzīgs.

• DirectAdmin rokasgrāmata 5.8: DKIM ieslēgšana un pārbaude
• DKIM iestatīšana, ja DNS darbojas ārējā serverī
• DirectAdmin rokasgrāmata 5.4: CNAME ieraksti un punkts beigās
• WebOké rokasgrāmata 6.7: Karte E-pasta iestatīšana (MX, SPF, DKIM, DMARC)
• RFC 6376 (DKIM), RFC 8301 (atslēgas garums), RFC 8463 (Ed25519)