Що таке запис DKIM?
DKIM додає криптографічний підпис до ваших вихідних листів; отримувачі перевіряють його за відкритим ключем, який ви публікуєте в DNS за адресою selector._domainkey.your-domain. Оскільки DNS не дає способу перелічити селектори, IPeek перевіряє селектори, які використовують Google, Microsoft, Amazon SES та інші великі постачальники.
Як працює підписання та перевірка DKIM
Коли ви надсилаєте лист, ваш постачальник підписує обрані заголовки й тіло приватним ключем, додаючи до повідомлення заголовок DKIM-Signature. Отримувач читає теги d= (домен) і s= (селектор) із цього заголовка, отримує відповідний відкритий ключ за адресою selector._domainkey.d і перевіряє підпис. Якщо він валідний, вміст не змінювався в дорозі та справді надійшов від власника ключа для цього домену. Приватний ключ залишається на сервері-відправнику; у DNS зберігається лише відкритий ключ.
Селектори та відкритий ключ у DNS
Селектор дозволяє одному домену публікувати кілька ключів DKIM — це зручно для ротації або для різних сервісів надсилання. Відкритий ключ — це TXT-запис за адресою selector._domainkey.your-domain, наприклад google._domainkey.example.com, що містить v=DKIM1; k=rsa; p=<відкритий ключ у base64>. Оскільки DNS не пропонує каталогу селекторів, ви не можете просто запитати, які з них використовує домен. Саме тому IPeek перевіряє поширені селектори, що їх використовують Google (google), Microsoft, Amazon SES та інші великі постачальники, щоб знайти ваші опубліковані ключі.
Як DKIM пов’язаний зі SPF і DMARC
DKIM — це рівень автентифікації вмісту серед трьох. Якщо SPF авторизує хости-відправники за IP, то DKIM криптографічно доводить, що заголовки й тіло повідомлення не підроблялися, і прив’язує його до домену, що підписав. Потім DMARC перевіряє, що домен підпису DKIM вирівняний із видимою адресою From. DKIM має ключову перевагу над SPF: оскільки підпис подорожує разом із повідомленням, він переживає пересилання, на якому SPF часто ламається. Для надійної доставлюваності публікуйте DKIM і вирівнюйте його під DMARC.