Aktualizacja specyfikacji DKIM2: Co nowego w projekcie IETF z maja 2026 r.

Grupa robocza IETF ds. DKIM opublikowała 17 maja 2026 r. nową wersję specyfikacji DKIM2. Jest to trzecia wersja robocza dokumentu grupy roboczej, która stanowi kolejny krok w kierunku ostatecznego wydania dokumentu RFC. Dla wszystkich, którzy śledzą rozwój DKIM2 od pierwszych wersji roboczych, jest to jak dotąd najwyraźniejszy znak, że grupa robocza jest bliska opracowania rozwiązania gotowego do rzeczywistego zastosowania.

Chcesz odświeżyć sobie wiedzę przed dalszą lekturą? Zapoznaj się z naszym szczegółowym artykułem wyjaśniającym „Czym jest DKIM2”, aby poznać podstawowe informacje.

Co się zmieniło w tej aktualizacji

Nowa wersja nosi nazwę draft-ietf-dkim-dkim2-spec-02. Została napisana przez Richarda Claytona (Yahoo), Wei Chuang (Google) i Brona Gondwanę (Fastmail) – ten sam zespół, który pracował nad dokumentem od samego początku. Pierwszym oficjalnym projektem grupy roboczej IETF był draft-ietf-dkim-dkim2-spec-00, opublikowany 24 marca 2026 r., który zastąpił wcześniejszy indywidualny projekt (draft-clayton-dkim2-spec). Od tego czasu dokument przeszedł kolejne wersje – -01 w kwietniu i -02 w maju, a specyfikacja była kształtowana przez szerszą grupę roboczą, a nie tylko przez jej pierwotnych autorów.

Wersja z 17 maja stanowi kolejną aktualizację, która ma na celu dalsze dopracowanie szczegółów technicznych specyfikacji. Najważniejsze zmiany to:

• Nagłówki Authentication-Results wyłączone z podpisu: Nagłówki te często ulegają zmianie podczas przesyłania wiadomości między systemami, więc pominięcie ich w podpisie pozwala uniknąć niepotrzebnych błędów weryfikacji.
• Bardziej przejrzyste zasady dotyczące flag „donotmodify” i „donotexplode”: nadawcy mogą wyraźniej zaznaczyć, że wiadomość nie powinna być modyfikowana ani wysyłana do wielu odbiorców, a weryfikatorzy mają teraz do dyspozycji konkretne mechanizmy sprawdzające oraz komunikaty o błędach w przypadku zignorowania tych żądań.
• Usunięto przepis dotyczący obiektu typu z: pierwotnie dodano go z myślą o skróconych komunikatach o odrzuceniu, jednak w praktyce okazał się zbędny. Jego usunięcie upraszcza specyfikację bez utraty funkcjonalności.
• Bardziej rygorystyczne zasady techniczne: wyjaśnienia dotyczące wypełniania danych w kodowaniu Base64, separatorów w postaci średników w polach nagłówkowych oraz formatowania JSON zmniejszają niejasności i ułatwiają tworzenie zgodnych implementacji.

Czytelnicy, którzy uważnie śledzą tę specyfikację, mogą bezpośrednio porównać poszczególne wersje za pomocą narzędzia IETF Datatracker.

Dwa problemy, które rozwiązuje DKIM2

Do tej przeróbki doprowadziły dwa od dawna występujące problemy związane z DKIM1.

Pierwszym z nich jest atak powtórkowy DKIM. W tym przypadku osoba atakująca wykorzystuje legalną, podpisaną wiadomość i wysyła ją ponownie do innych skrzynek pocztowych, nadużywając dobrej reputacji oryginalnej domeny. DKIM2 rozwiązuje ten problem, rejestrując dane odbiorcy w podpisanej treści i tworząc łańcuch dowodowy obejmujący każdy etap przesyłania wiadomości. Powtórzone wiadomości nie wyglądają już na prawdziwe dla weryfikatora.

Drugim problemem są uszkodzone podpisy podczas przekazywania wiadomości. Listy mailingowe i serwisy przekazujące wiadomości często modyfikują nagłówki lub treść wiadomości w sposób, który powoduje uszkodzenie oryginalnego podpisu DKIM. Dlatego wiadomości wysyłane za pośrednictwem narzędzi takich jak Mailman często nie przechodzą kontroli DMARC dla domeny nadawcy. DKIM2 radzi sobie z tym problemem w sposób natywny. Każdy system, który ma kontakt z wiadomością, rejestruje wprowadzone zmiany i dodaje własny podpis do łańcucha. Dzięki temu weryfikatorzy mogą prześledzić drogę wiadomości aż do pierwotnego nadawcy bez przerywania łańcucha.

Aby zapoznać się z podstawowymi informacjami na temat problemów związanych z przekazywaniem wiadomości, przeczytaj nasz artykuł poświęcony protokołowi DMARC i listom mailingowym.

Usługa ARC zostanie wycofana

W poprawce dotyczącej przekazywania wiadomości wyjaśniono również powiązaną aktualizację, o której warto wiedzieć. 22 kwietnia 2026 r. Trent Adams (Proofpoint) i John Levine (Taughannock Networks) przedłożyli draft-ietf-dmarc-arc-to-historic-00 do grupy roboczej IETF DMARC. Proponuje on, aby Authenticated Received Chain (ARC) został przeklasyfikowany jako standard historyczny.

W projekcie jako powód zakończenia eksperymentu ARC podano fakt, że doświadczenia operacyjne zdobyte w ramach ARC są wykorzystywane w proponowanych pracach nad DKIM2, który ma zastąpić DKIM. Innymi słowy, wnioski wyciągnięte z ARC nie idą na marne. Są one włączane do bardziej dopracowanego rozwiązania.

Jeśli chcesz dowiedzieć się więcej o ARC i jego działaniu, zapoznaj się z naszym przewodnikiem „Czym jest ARC”.

Co właściciele domen powinni zrobić już teraz

Dla większości nadawców odpowiedź brzmi: nic pilnego.

Klucze DKIM2 wykorzystują tę samą strukturę rekordów DNS, co obecne klucze DKIM, więc dotychczasowa konfiguracja DNS pozostaje bez zmian. Specyfikacja zakłada długi okres, w którym DKIM1 i DKIM2 będą funkcjonować równolegle, więc nie ma konieczności przymusowego przechodzenia na nowy standard. Pierwsze wdrożenia u głównych dostawców usług pocztowych spodziewane są pod koniec 2026 r., a dalsze, szersze wdrażanie będzie trwało w 2027 r. i później.

Teraz najważniejsze jest upewnienie się, że Twoja obecna konfiguracja DKIM działa prawidłowo. Oznacza to prawidłowo opublikowane klucze, rozsądną rotację oraz brak pozostałych selektorów. Wszelkie problemy, z którymi borykasz się obecnie, będą Ci towarzyszyć również w erze DKIM2. Jeśli chcesz odświeżyć podstawy, zacznij od zapoznania się z artykułem „Czym jest DKIM”.

Jeśli nie chcesz samodzielnie zarządzać kluczami podpisującymi po wprowadzeniu zmian, usługa DKIM w chmurze firmy PowerDMARC zajmie się publikacją, rotacją i monitorowaniem kluczy, dzięki czemu będziesz gotowy na wdrożenie DKIM2.

• O
• Latest Posts

Yunes Tarada

Ekspert ds. bezpieczeństwa domen i poczty e-mail w PowerDMARC

Yunes jest liderem zespołu operacyjnego w PowerDMARC z wiedzą ekspercką w zakresie uwierzytelniania i bezpieczeństwa poczty elektronicznej. Yunes jest certyfikowanym przez Microsoft Azure Administrator Associate z certyfikatami CompTIA A+ i wieloma innymi.

Najnowsze posty autorstwa Yunes Tarada (zobacz wszystkie)

• Aktualizacja specyfikacji DKIM2: Co nowego w projekcie IETF z maja 2026 r. - 25 maja 2026 r.
• Czy program Windows Defender wystarczy do zapewnienia bezpieczeństwa w małej firmie? - 14 maja 2026 r.
• DMARCbis – co się zmienia i jak się przygotować - 16 kwietnia 2026 r.