岗位

DKIM密钥旋转是更新你的DKIM密钥的过程。你应该定期轮换你的密钥--确切的周期并不重要,重要的是这个过程本身。你为什么要这样做?轮换密钥是指创建新的密钥并使用这些新的密钥更新DNS记录。轮换你的DKIM密钥的目的类似于你为什么要定期更换你的密码:这是一项安全措施,有助于防止攻击者冒充你的域名,发送垃圾邮件或钓鱼邮件。

让我们来看看为什么你首先要使用DKIM密钥。

为什么要使用DKIM密钥?

DKIMDKIM是DomainKeys Identified Mail的缩写。它是一种为你的电子邮件服务器添加额外安全层的方法,这样你的电子邮件就不会被标记为垃圾邮件并最终进入垃圾邮件文件夹。思考DKIM的最佳方式是将一个加密的标识符附在你的邮件上,这样收件人就可以验证该邮件确实是由你发出的,也就是它声称来自的那个人。这个标识符,或钥匙,是让他们验证的东西。

DKIM是如何工作的?

DKIM的工作原理是在每封正在发送的电子邮件中添加这个标识符。当有人收到这些邮件时,他们可以检查邮件的页眉或页脚,发现一串数字和字母,这就是加密的标识符或DKIM密钥。在电子邮件被发送到其收件人之前,发件人的电子邮件服务器用数字签名签署每封电子邮件,然后由接收电子邮件的服务器进行验证。这个过程证明了电子邮件没有被篡改或以任何方式改变。 

当你发送你的电子邮件时,签名是作为一个头附在邮件的最后。收件人服务器使用公钥(由域名所有者通过DNS记录提供)来解密和验证这些签名。

为什么DKIM密钥旋转对你的域名安全很重要?

DKIM密钥轮换是指你开始使用一个新的私人/公共密钥对来签署和验证你的信息,然后停止使用旧的私人/公共密钥对。

为什么这很重要?好吧,如果有人能够获得你的私钥,他们实际上可以用它来发送看似来自你的欺诈性电子邮件!为了防止这种恶意活动,最好的做法是每隔几个月轮换你的密钥。为了防止这种恶意活动,最好的做法是每几个月轮换一次你的密钥。

为了更好地理解DKIM密钥旋转的重要性,让我们看看这个例子。 

比方说,你为你的商店的假日促销活动发送了一封电子邮件。你使用你的DKIM密钥来签署你的电子邮件,但如果你长期使用相同的密钥对发送足够多的电子邮件,坏的行为者最终可能会拦截并解码其中的一个,因为每个消息都使用相同的加密哈希算法。一旦他们得到了你的公钥,他们就可以开始用它来签署他们的钓鱼邮件,而你甚至不知道这就是为什么定期轮换DKIM密钥对你的域名安全至关重要。

你如何轮换你的DKIM密钥?

1.手动旋转DKIM密钥

你可以通过为你的域名创建新的密钥,不时地手动旋转你的DKIM密钥。要做到这一点,请遵循以下步骤。 

  • 请到我们的免费 DKIM记录生成器工具
  • 输入你的域名的信息,并输入你选择的所需的DKIM选择器 
  • 点击 "生成 "按钮 
  • 复制你全新的一对DKIM密钥 
  • 公钥将被公布在你的DNS上,取代你以前的记录。
  • 私钥要与你的ESP共享(如果你是外包的电子邮件)或上载到你的电子邮件服务器上(如果你在内部处理电子邮件传输)。 

2.子域DKIM密钥授权

域名所有者可以通过让第三方为他们处理DKIM密钥旋转而将其外包。这是指域名所有者将一个专门的子域委托给一个电子邮件供应商,并要求他们代表他们生成一个DKIM密钥对。这使得域名所有者可以通过将责任外包给第三方来规避DKIM密钥旋转的麻烦。 

然而,这可能导致DMARC条目的政策覆盖问题。建议由域控制器监控和审查轮换的密钥,以确保顺利和无错误的部署。 

3.DKIM CNAME密钥授权

CNAME是canonical name的缩写,是用于指向外部域数据的DNS记录。CNAME委托允许域名所有者指向由任何外部第三方维护的DKIM记录信息。这类似于子域委托,因为域名所有者只需要在他们的DNS上发布一些CNAME记录,而DKIM基础设施和DKIM密钥旋转则由记录所指向的第三方处理。 

比如说。 

"domain.com "是要签名的原发电子邮件的域名,"third-party.com "是将处理签名过程的供应商。 

s1._domainkey.domain.com CNAME s1.domain.com.third-party.com

上述CNAME记录需要在域名所有者的DNS中发布。 

现在,s1.domain.com.third-party.com已经在其DNS上发布了一条DKIM记录,可以是。 s1.domain.com.third-party.com TXT "v=DKIM1; p=MIG89hdg599...."

这些信息将被用来签署来自domain.com的电子邮件。 

注释: 你需要发布 多个DKIM记录(建议:至少3条CNAME记录),在你的DNS上有不同的选择器,以实现DKIM密钥轮换。这将允许你的供应商在签署时切换密钥,并为他们提供备选方案。

4.自动轮换DKIM密钥

大多数电子邮件供应商和第三方电子邮件服务提供商都为客户实现了DKIM密钥的自动旋转。例如,如果你使用Office 365来路由你的电子邮件,你会很高兴地知道,微软支持为他们的Office 365用户自动旋转DKIM密钥。 

我们已经在知识库中介绍了关于如何为你的Office 365电子邮件启用DKIM密钥轮换的完整文档。 

自动轮换你的DKIM密钥的好处

  • 如果你的供应商允许DKIM密钥的自动轮换,你不需要做任何事情。一切都是由他们管理的。 
  • 手动配置容易出现人为错误。
  • 自动旋转钥匙是快速而有效的,不需要你的干扰。 
  • DKIM管理系统是完全外包的,由第三方处理。

部署DKIM密钥轮换策略

我们称其为"DKIM密钥旋转的3个D":

  • 讨论 
  • 决定
  • 部署 

这就是为你的域名制定的有效的DKIM密钥轮换策略的总结。当你为你的电子邮件使用任何第三方服务,并且你的供应商为你处理轮换时,确保你有一个公开和透明的讨论,说明你想何时和多长时间轮换一次你的密钥。你应该对时间表以及你想用于选择密钥的大小有发言权(无论你想使用1024位还是2048位以获得更多的安全)。 

一旦讨论阶段过去,你和你的供应商必须共同决定你的战略是什么,并最终进行部署。