DKIM anahtarı nasıl bulur?
Bir iletideki DKIM imzası, bir alan adı (d=) ve bir seçici (s=) belirtir. Alıcı bunları selector._domainkey.domain biçiminde birleştirir, buradaki TXT kaydını okur ve imzayı doğrulamak için p= etiketindeki açık anahtarı kullanır. Bir alan adı istediği sayıda seçici yayımlayabilir. Böylece her gönderim hizmetinin kendi anahtarı olabilir ve anahtarlar kesinti olmadan değiştirilebilir.
DNS, bir alan adındaki seçicileri listeleme olanağı sunmadığı için denetleyicinin seçiciyi bilmesi gerekir. Taranabilecek bir liste yoktur; seçici, gerçek bir iletinin imzasından alınır.
Bir DKIM anahtarı neden zayıf veya bozuk olur?
RFC 8301'e göre RSA anahtarları en az 1024 bit olmalı, tercihen 2048 bit olmalıdır. Bir doğrulayıcı daha kısa bir anahtarı yok sayabilir. Bizim doğrulayıcımız da bunu yapar, bu nedenle 512 bitlik bir anahtar hiç imza yokmuş gibi değerlendirilir. Ed25519 anahtarları (RFC 8463) tasarım gereği kısa ve güçlüdür, ancak henüz her alıcı bunları doğrulamaz. Bu nedenle genellikle bir RSA anahtarının yerine değil, yanında yayımlanırlar.
Denetleyici anahtarın tamamını çözer. TXT dizeleri arasında hatalı bölünmüş bir kayıt veya çözülemeyen base64, hiçbir alıcının kullanamayacağı bir anahtar oluşturur. Boş bir p=, anahtarın bilerek iptal edildiği anlamına gelir. t=y, hâlâ test aşamasında olan bir alan adını belirtir. RFC 6376 §3.6.1, doğrulayıcılara bu alan adından gelen postaları tam olarak imzasız postalar gibi değerlendirmelerini söyler.
Sorular
DKIM seçicimi nasıl bulabilirim ve DKIM etkin mi?
Kendinize bir mesaj gönderin ve ulaşan kopyanın üstbilgilerini açın. Burada bir DKIM-Signature üstbilgisi varsa mesaj imzalanmıştır: seçici s= değeri, alan adı ise d= değeridir. Böyle bir üstbilgi yoksa gönderim yaptığınız hizmet imzalama yapmıyordur. Her gönderim hizmeti kendi seçicisiyle imzalar, bu nedenle bir bülten ile posta kutunuzdan gönderilen bir mesaj farklı seçiciler taşıyabilir.
Anahtar doğru, ancak DKIM "body hash did not verify" hatasıyla başarısız oluyor. Neden?
Genellikle ileti imzalandıktan sonra değiştirilmiştir. Örneğin bir posta listesi altbilgi eklemiş veya bir güvenlik ağ geçidi bağlantıyı yeniden yazmış olabilir. Anahtar yalnızca imzalanan içeriği doğrulayabilir. Tam test, iletinizin gerçek doğrulama sonucunu gösterir.
Tam kılavuz: DKIM fail
DKIM anahtar uzunluğu 1024 mü, 2048 bit mi olmalı?
1024 bitlik bir anahtar her yerde doğrulanır ve RFC 8301 buna izin verir. Yine de bu minimum değerdir, bu nedenle anahtarları bir sonraki yenilemenizde 2048 bite geçin.
Bir alan adında birden fazla DKIM kaydı olabilir mi?
Evet, her seçici için bir tane olabilir ve birçok alan adında birden fazla kayıt bulunur: posta kutusu sağlayıcısı için bir tane, her bülten veya faturalandırma hizmeti için de birer tane. Bunları tek tek kontrol edin. DNS'den silinmiş bir anahtar, hâlâ bu anahtarla imzalanan tüm mesajların doğrulamasını başarısız kılar.
DKIM anahtarlarını ne sıklıkla yenilemeliyim?
M3AAWG, anahtarların en az altı ayda bir, özel anahtarın sızmış olabileceği durumlarda ise hemen yenilenmesini önerir. Yeni anahtarı yeni bir seçici altında yayımlayın, imzalamayı bu anahtara geçirin ve eski kaydı yalnızca eski anahtarla imzalanmış postaların ulaşması durduktan sonra silin. Gönderenler dört ila beş gün boyunca yeniden dener, bu nedenle yaklaşık bir hafta bekleyin.