Che cos'è un record DKIM?
DKIM aggiunge una firma crittografica alle tue email in uscita; i destinatari la verificano con una chiave pubblica che pubblichi nel DNS su selector._domainkey.tuo-dominio. Poiché il DNS non offre alcun modo per elencare i selector, IPeek sonda i selector usati da Google, Microsoft, Amazon SES e altri provider principali.
Come funzionano la firma e la verifica DKIM
Quando invii un messaggio, il tuo provider firma con una chiave privata determinate intestazioni e il corpo, aggiungendo un'intestazione DKIM-Signature al messaggio. Il destinatario legge i tag d= (dominio) e s= (selector) da quell'intestazione, recupera la chiave pubblica corrispondente su selector._domainkey.d e verifica la firma. Se è valida, il contenuto non è stato alterato durante il transito e proviene davvero da chi detiene la chiave per quel dominio. La chiave privata resta sul server mittente; nel DNS risiede solo quella pubblica.
I selector e la chiave pubblica nel DNS
Un selector consente a un dominio di pubblicare più chiavi DKIM — utile per la rotazione o per diversi servizi di invio. La chiave pubblica è un record TXT su selector._domainkey.tuo-dominio, ad esempio google._domainkey.example.com, che contiene v=DKIM1; k=rsa; p=<chiave pubblica base64>. Poiché il DNS non offre un elenco dei selector, non puoi semplicemente chiedere quali usi un dominio. È per questo che IPeek sonda i selector comuni usati da Google (google), Microsoft, Amazon SES e altri provider principali per localizzare le tue chiavi pubblicate.
Come DKIM si relaziona a SPF e DMARC
DKIM è il livello di autenticazione del contenuto tra i tre. Mentre SPF autorizza gli host mittenti tramite IP, DKIM dimostra crittograficamente che le intestazioni e il corpo di un messaggio non sono stati manomessi e lo lega a un dominio firmatario. DMARC verifica poi che il dominio firmatario DKIM si allinei con l'indirizzo From visibile. DKIM ha un vantaggio chiave rispetto a SPF: poiché la firma viaggia insieme al messaggio, sopravvive all'inoltro, che spesso rompe SPF. Per una recapitabilità solida, pubblica DKIM e allinealo con DMARC.