Przewodnik po DKIM: czym jest, jak działa i jak go skonfigurować

Czym jest DKIM?

DomainKeys Identified Mail (DKIM) to protokół uwierzytelniania wiadomości e-mail, który wykorzystuje kryptografię klucza publicznego do sprawdzenia, czy wiadomość rzeczywiście pochodzi z danej domeny i czy nie została zmodyfikowana po wysłaniu. Zamiast opierać się wyłącznie na adresie IP serwera wysyłającego, DKIM dołącza do każdej wysyłanej wiadomości e-mail unikalny podpis cyfrowy.

Gdy serwer pocztowy odbierający wiadomość otrzyma Twoją wiadomość, pobiera Twój klucz publiczny z serwera DNS i wykorzystuje go do weryfikacji podpisu. Jeśli podpis jest zgodny, wiadomość przechodzi uwierzytelnianie DKIM.

Jak działa DKIM

DKIM działa w oparciu o parę kluczy kryptograficznych: klucz prywatny i klucz publiczny.

Klucz prywatny jest bezpiecznie przechowywany na serwerze poczty wychodzącej lub u dostawcy usług poczty elektronicznej. Za każdym razem, gdy wysyłana jest wiadomość e-mail, klucz ten generuje unikalny podpis cyfrowy na podstawie określonych części wiadomości, takich jak treść i wybrane nagłówki. Podpis jest następnie dołączany do wiadomości e-mail jako nagłówek „DKIM-Signature”.

Gdy wiadomość e-mail dotrze do odbiorcy, jego serwer pocztowy wyodrębnia z nagłówka domenę podpisującą i selektor, pobiera odpowiedni klucz publiczny z Twoich rekordów DNS i weryfikuje podpis.

Jeśli wszystko się zgadza, weryfikacja DKIM przebiega pomyślnie. Jeśli wiadomość e-mail została zmieniona po podpisaniu lub nie można zweryfikować podpisu, uwierzytelnianie kończy się niepowodzeniem.

Wyjaśnienie składni rekordu DKIM

Klucz publiczny DKIM jest publikowany jako rekord TXT w systemie DNS. Rekord ten informuje serwery pocztowe odbierające wiadomości, w jaki sposób zweryfikować podpis dołączony do Twoich wiadomości e-mail.

Podstawowy rekord DKIM wygląda następująco:

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCA...

Wyjaśnienie selektorów DKIM

Selektor DKIM określa, który klucz publiczny należy wykorzystać do weryfikacji konkretnego podpisu wiadomości e-mail.

Zamiast publikować jeden klucz DKIM dla całej domeny, organizacje mogą utworzyć wiele selektorów, które odnoszą się do różnych kluczy. Dzięki temu różni dostawcy poczty elektronicznej, aplikacje lub działy mogą korzystać z oddzielnych kluczy podpisujących, nie zakłócając przy tym wzajemnie swojego działania.

Na przykład Twoja platforma marketingowa może podpisywać wiadomości e-mail przy użyciu jednego selektora, podczas gdy Microsoft 365 korzysta z innego. Typowy selektor wygląda następująco: selector1._domainkey.example.com

• selector1 to selektor.
• _domainkey określa przestrzeń nazw DKIM.
• example.com to domena podpisująca.

Jak skonfigurować DKIM

Konfiguracja DKIM polega na wygenerowaniu pary kluczy, opublikowaniu klucza publicznego w systemie DNS oraz skonfigurowaniu usługi pocztowej tak, aby podpisywała wychodzące wiadomości przy użyciu odpowiedniego klucza prywatnego.

Dokładny przebieg tej procedury różni się nieco w zależności od dostawcy poczty elektronicznej, ale ogólny schemat działania pozostaje taki sam.

• Wygeneruj parę kluczy DKIM: Większość dostawców usług poczty elektronicznej automatycznie generuje parę kluczy publicznego i prywatnego po włączeniu funkcji DKIM.
• Opublikuj klucz publiczny: Dodaj dostarczony rekord DKIM do systemu DNS swojej domeny jako rekord TXT (lub, w niektórych implementacjach, jako rekord CNAME).
• Włącz podpisywanie DKIM: Włącz funkcję podpisywania DKIM w swojej platformie pocztowej, aby każda wysyłana wiadomość e-mail zawierała nagłówek „DKIM-Signature”.
• Poczekaj na propagację zmian w systemie DNS: aktualizacje DNS zazwyczaj są propagowane w ciągu kilku godzin, choć u niektórych dostawców może to potrwać nawet do 48 godzin.
• Sprawdź poprawność konfiguracji: wyślij wiadomość e-mail testową i upewnij się, że podpis DKIM przechodzi proces uwierzytelniania, zanim przejdziesz do środowiska produkcyjnego.

Instrukcje konfiguracji dla poszczególnych dostawców

Jak sprawdzić i zweryfikować DKIM

Po opublikowaniu rekordu DKIM kolejnym krokiem jest sprawdzenie, czy działa on zgodnie z oczekiwaniami. Oznacza to sprawdzenie, czy usługa pocztowa poprawnie generuje podpisy DKIM oraz czy serwery pocztowe odbiorców mogą je pomyślnie zweryfikować.

Dokładna weryfikacja DKIM powinna potwierdzić, że:

• Dla wybranej domeny istnieje rekord DKIM.
• Selektor działa poprawnie.
• Klucz publiczny jest prawidłowy.
• Wiadomości e-mail zawierają nagłówek „DKIM-Signature”.
• Podpis przeszedł weryfikację.
• DKIM jest zgodny z domeną widoczną w polu „Od” dla DMARC.

Możesz również ręcznie sprawdzić nagłówki wiadomości w Gmailu, Outlooku lub Apple Mail, aby zapoznać się z wynikami uwierzytelniania DKIM.

Typowe błędy związane z DKIM i sposoby ich usuwania

Nawet jeśli protokół DKIM jest skonfigurowany, mogą wystąpić błędy uwierzytelniania spowodowane nieprawidłową konfiguracją DNS, wygasłymi kluczami, nieprawidłowymi selektorami lub modyfikacjami wiadomości podczas przesyłania. Większość problemów nie wynika z samego protokołu DKIM, ponieważ wiele z nich jest skutkiem odchylenia od pierwotnej konfiguracji lub zmian w infrastrukturze.

Oto krótki przegląd najczęstszych błędów związanych z DKIM oraz wskazówki, jak je rozwiązać:

Jeśli po zmianie dostawcy poczty elektronicznej lub aktualizacji DNS nagle pojawią się błędy związane z DKIM, sprawdź, czy używasz właściwego selektora, czy klucz publiczny został pomyślnie rozpropagowany oraz czy Twoja platforma pocztowa aktywnie podpisuje wychodzące wiadomości.

Zgodność DKIM i DMARC

Pomyślne wygenerowanie podpisu DKIM nie oznacza automatycznie, że wiadomość e-mail spełnia wymagania DMARC.

DMARC wymaga zgodności, co oznacza, że domena użyta do podpisania wiadomości e-mail ( d= wartość w podpisie DKIM) musi być zgodna z domeną podaną w widocznym polu „Od:” lub stanowić zatwierdzoną subdomenę tej domeny.

Na przykład:

• Źródło: company.com
• DKIM d=: company.com — Zgodne
• DKIM d=: mailservice.com — Nie jest wyrównane

Nawet jeśli podpis DKIM zostanie pomyślnie zweryfikowany, weryfikacja DMARC może i tak zakończyć się niepowodzeniem, jeśli domena podpisująca nie pokrywa się z domeną nadawcy.

DMARC obsługuje dwa tryby synchronizacji:

Wiele organizacji korzysta z zewnętrznych platform pocztowych do wysyłania biuletynów, wiadomości transakcyjnych lub prowadzenia kampanii marketingowych. Jeśli dostawcy tych usług podpisują wiadomości przy użyciu własnej domeny zamiast domeny użytkownika, weryfikacja DKIM przebiega pomyślnie, ale weryfikacja DMARC kończy się niepowodzeniem z powodu rozbieżności.

Skonfigurowanie niestandardowego podpisywania DKIM dla każdego dostawcy pomaga zapewnić, że uwierzytelnianie zawsze przebiega pomyślnie.

Długości kluczy DKIM

Skuteczność algorytmu DKIM zależy w dużej mierze od klucza kryptograficznego używanego do podpisywania wiadomości e-mail.

Chociaż klucze RSA o długości 1024 bitów były niegdyś standardem, współczesne wytyczne dotyczące bezpieczeństwa zalecają stosowanie kluczy RSA o długości 2048 bitów, które zapewniają lepszą ochronę przed atakami metodą brute force i są zgodne z aktualnymi najlepszymi praktykami branżowymi.

Rotacja kluczy DKIM

Regularna rotacja kluczy ogranicza skutki naruszenia bezpieczeństwa klucza prywatnego i pomaga organizacjom utrzymać odpowiednie standardy bezpieczeństwa poczty elektronicznej.

Typowy proces rotacji obejmuje:

• Tworzenie nowej pary kluczy.
• Opublikowanie nowego klucza publicznego przy użyciu nowego selektora.
• Konfiguracja serwera pocztowego w celu podpisywania wiadomości e-mail za pomocą nowego selektora.
• Zapewnienie wystarczającej ilości czasu na dostarczenie wcześniej podpisanych wiadomości e-mail.
• Usunięcie starego selektora z serwera DNS.

Zastosowanie selektorów sprawia, że przejście to przebiega płynnie, ponieważ zarówno stare, jak i nowe klucze mogą współistnieć w okresie migracji.

Organizacje zarządzające wieloma domenami lub dostawcami poczty elektronicznej często automatyzują ten proces, aby zmniejszyć obciążenie operacyjne i wyeliminować ryzyko związane z nieaktualnymi lub zapomnianymi kluczami DKIM.

DKIM a SPF a DMARC

SPF, DKIM i DMARC to uzupełniające się protokoły, których celem jest rozwiązanie różnych aspektów uwierzytelniania wiadomości e-mail.

Zamiast wybierać jeden protokół kosztem innego, organizacje powinny wdrożyć wszystkie trzy. Na przykład:

• W przypadku przekazania wiadomości e-mail funkcja SPF może nie działać prawidłowo.
• DKIM często zachowuje swoją integralność podczas przekazywania wiadomości, ponieważ podpis pozostaje nienaruszony.
• DMARC uznaje uwierzytelnienie za pomyślne, jeśli test SPF lub DKIM zakończy się powodzeniem i wyniki są zgodne z domeną „From”.

W połączeniu zapewniają one znacznie skuteczniejszą ochronę przed atakami typu spoofing, phishing i podszywanie się niż jakikolwiek protokół działający samodzielnie.

Hostowany DKIM

W miarę rozwoju organizacji zarządzanie DKIM w ramach wielu dostawców usług poczty elektronicznej staje się coraz bardziej skomplikowane.

Różne platformy marketingowe, systemy CRM, centra obsługi klienta oraz usługi poczty elektronicznej służące do obsługi transakcji często wymagają oddzielnych selektorów DKIM, unikalnych rekordów DNS oraz okresowej rotacji kluczy.

Bez scentralizowanego zarządzania łatwo stracić z oczu:

• Aktywne selektory
• Wygasłe klucze
• Osierocone rekordy DNS
• Konfiguracje podpisywania specyficzne dla dostawcy

Usługa Hosted DKIM upraszcza ten proces poprzez scentralizowanie zarządzania DKIM, ograniczenie ręcznej konserwacji DNS oraz wspieranie organizacji w utrzymaniu prawidłowego uwierzytelniania na wszystkich platformach wysyłkowych.

Najlepsze praktyki DKIM

Stosowanie kilku sprawdzonych praktyk operacyjnych może znacznie poprawić zarówno niezawodność uwierzytelniania, jak i długoterminową łatwość konserwacji.

Regularne monitorowanie jest równie ważne jak początkowa konfiguracja. Dostawcy poczty elektronicznej zmieniają ustawienia, rekordy DNS ewoluują, a z biegiem czasu pojawiają się nowe usługi wysyłkowe. Okresowe audyty pomagają zapewnić, że DKIM nadal chroni Twoją domenę w miarę rozwoju infrastruktury pocztowej.