DKIM: semnătura sub e-mailul dumneavoastră

Modulul 4: Înregistrări pentru e-mail · Timp de citire: 8 minute

Obiectiv de învățare: După această lecție veți putea explica cum funcționează DKIM, veți putea găsi și verifica o înregistrare DKIM și veți putea plasa corect o înregistrare DKIM a unui serviciu extern (ca TXT sau ca CNAME).

Concepte-cheie: DKIM, semnătură digitală, cheie privată și cheie publică, selector, _domainkey, d= și s=, v=DKIM1; k=rsa; p=, DKIM prin CNAME, rotația cheilor

Un sigiliu pe fiecare e-mail

SPF (lecția 4.3) verifică de pe ce server provine un e-mail. DKIM (DomainKeys Identified Mail, RFC 6376) funcționează diferit: aplică o semnătură digitală pe e-mailul în sine.

Iată cum funcționează:

1. Serverul de e-mail expeditor are o cheie privată secretă. Cu aceasta, creează pentru fiecare e-mail o semnătură peste părțile cele mai importante: expeditorul, subiectul, data și conținutul.
2. Acea semnătură este inclusă într-un antet al e-mailului: DKIM-Signature.
3. Cheia publică corespunzătoare se află în DNS-ul domeniului, într-o înregistrare TXT.
4. Destinatarul preia acea cheie publică și verifică semnătura. Dacă aceasta corespunde, el știe două lucruri: e-mailul a fost într-adevăr semnat de cineva care administrează DNS-ul acelui domeniu, iar e-mailul nu a fost modificat pe parcurs.

Avantajul: DKIM continuă să funcționeze chiar dacă un e-mail este redirecționat, atât timp cât conținutul nu este modificat. Acesta este un aspect cu care SPF are dificultăți.

Unde se află cheia? Selectorul

Un domeniu poate avea mai multe chei DKIM: una de la propriul server de e-mail, una de la Microsoft 365, una de la serviciul dumneavoastră de newsletter. Pentru a le deosebi, fiecare cheie are un nume, selectorul.

Semnătura conține două câmpuri importante:

DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=mail2026; ...

• d=example.com: domeniul care semnează.
• s=mail2026: selectorul.

Destinatarul caută apoi cheia sub acest nume:

<selector>._domainkey.<domein>
mail2026._domainkey.example.com

Partea _domainkey este fixă. Înregistrarea arată, de exemplu, așa:

mail2026._domainkey.example.com. 3600 IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC..."

O cheie RSA de 2048 de biți este alegerea obișnuită; 1024 de biți este minimul (RFC 8301). O astfel de cheie este mai lungă de 255 de caractere, deci înregistrarea constă din mai multe segmente de text (lecția 4.2). Majoritatea panourilor rezolvă acest lucru automat.

Propriul dumneavoastră DKIM și cel al serviciilor

Pachetul dumneavoastră de hosting sau serverul de e-mail. Pe multe servere, DKIM este activat implicit, iar panoul plasează înregistrarea automat în DNS. Veți vedea atunci o înregistrare TXT cu un nume precum x._domainkey sau default._domainkey.

Dacă DNS-ul domeniului dumneavoastră se află la o altă parte (de exemplu Cloudflare sau registrarul dumneavoastră), serverul dumneavoastră de e-mail nu poate plasa singur înregistrarea acolo. În acest caz, copiați numele și valoarea completă din panoul de hosting și creați la partenerul DNS o înregistrare TXT cu exact acel nume și acea valoare. Acest lucru este adesea uitat la schimbarea serverelor de nume: e-mailul ajunge atunci brusc mai des în spam.

Servicii externe. Microsoft 365, Google Workspace și serviciile de newsletter semnează cu propria lor cheie. Veți primi de la ele una sau mai multe înregistrări:

• Ca TXT, de exemplu Google Workspace: numele google._domainkey, valoarea v=DKIM1; k=rsa; p= urmată de cheia lungă.
• Ca CNAME, de exemplu Microsoft 365 (selector1._domainkey și selector2._domainkey) sau Mailchimp (k2._domainkey și k3._domainkey). Un CNAME indică spre o cheie administrată de serviciul respectiv. Avantaj: serviciul își poate înlocui cheia fără ca dumneavoastră să fiți nevoit să faceți ceva.

Toate aceste înregistrări au propriul selector și deci nu se încurcă reciproc. Nu eliminați înregistrarea DKIM a propriului server de e-mail atunci când adăugați un serviciu.

De ce doi selectori?

Servicii precum Microsoft 365 solicită două înregistrări CNAME, selector1 și selector2. Acestea semnează cu o cheie la un moment dat și comută periodic la cealaltă (rotația cheilor). Dacă setați doar selector1, funcționează până la prima comutare, iar apoi DKIM eșuează dintr-o dată. Setați deci întotdeauna toate înregistrările indicate de serviciu.

Greșeli frecvente

• Numele domeniului dublat. Introduceți k2._domainkey.example.com într-un panou care adaugă el însuși numele domeniului la sfârșit. Rezultat: k2._domainkey.example.com.example.com. Introduceți doar k2._domainkey.
• TXT în loc de CNAME (sau invers). Preluați exact tipul indicat de serviciu.
• Lipsa punctului la final pentru o țintă CNAME. În panourile care solicită acest lucru: dkim2.mcsv.net. cu punct.
• Cheie trunchiată. La copiere lipsește ultima parte din p=. Comparați începutul și sfârșitul cu originalul.
• DKIM activat în panoul serviciului, dar înregistrările nu au fost setate, sau invers. La majoritatea serviciilor trebuie mai întâi să setați înregistrările și apoi să activați DKIM în ecranul lor de administrare.

Verificarea funcționării DKIM

Trimiteți un e-mail către o adresă la un furnizor mare (de exemplu Gmail) și vizualizați originalul (Afișare original sau Afișare sursă). Căutați dkim=pass și verificați ce domeniu este indicat alături. Sau trimiteți un e-mail către un serviciu de testare precum mail-tester.com. Puteți interoga și dumneavoastră înregistrarea cu un instrument DNS: interogați înregistrarea TXT de la <selector>._domainkey.<domein>.

În practică: așa arată într-un panou

În acest exemplu folosim DirectAdmin. În DNS Administration se află o înregistrare TXT cu numele x._domainkey; valoarea începe cu v=DKIM1; k=rsa; p=. La E-mail Manager, E-mail Accounts se află un buton pentru activarea sau dezactivarea DKIM. Un CNAME al unui serviciu se creează prin Add Record, tipul CNAME, numele k2._domainkey, valoarea cu un punct la final.

În alte panouri, DKIM se poate afla sub „Autentificare e-mail” sau „Securitate e-mail”, însă înregistrarea din DNS este peste tot aceeași.

Rezumat

• DKIM aplică o semnătură digitală pe fiecare e-mail; cheia publică se află în DNS.
• Cheia se află la <selector>._domainkey.<domein>. Selectorul este indicat în semnătură (s=), la fel și domeniul (d=).
• Fiecare serviciu are propriul selector; înregistrările diferitelor servicii coexistă fără probleme.
• Serviciile folosesc adesea înregistrări CNAME și mai mulți selectori. Setați-le pe toate, cu exact tipul indicat.
• Dacă DNS-ul dumneavoastră se află la o altă parte, trebuie să setați acolo, dumneavoastră înșivă, cheia DKIM a propriului server de e-mail.

Quiz

Exercițiu

Exercițiul Z4.4: Căutarea DKIM. Deschideți un e-mail primit de la o companie sau organizație și vizualizați originalul. Căutați în antetul DKIM-Signature domeniul (d=) și selectorul (s=). Introduceți ambele. Verificarea caută cheia corespunzătoare.

Exercițiul O4.4: Configurare proprie în zona dumneavoastră de exersare. În zona de exersare folosiți un serviciu fictiv; la domeniul dumneavoastră real preluați cheia sau CNAME-ul real de la serverul dumneavoastră de e-mail sau de la serviciul respectiv. Veți primi la exercițiu o cheie de exersare (valoarea de după p=). Acea cheie este lungă: lipiți-o integral, fără a omite nimic. Creați în zona dumneavoastră de exersare <code>.dnspractice.eu:

1. o înregistrare TXT la cursus._domainkey cu valoarea v=DKIM1; k=rsa; p=<oefensleutel>;
2. o înregistrare CNAME la k2._domainkey care indică spre dkim.newsletter-demo.dnspractice.eu. (cu punctul la final dacă panoul dumneavoastră îl solicită).

Pentru aprofundare

Pașii din aceste articole sunt valabili pentru panourile WebOké; în alte panouri funcționează similar.

• Manual DirectAdmin 5.8: Activarea și verificarea DKIM
• Configurarea DKIM când DNS-ul este găzduit pe un server extern
• Manual DirectAdmin 5.4: Înregistrările CNAME și punctul de la final
• Manual WebOké 6.7: Caseta Configurați e-mailul (MX, SPF, DKIM, DMARC)
• RFC 6376 (DKIM), RFC 8301 (lungimea cheii), RFC 8463 (Ed25519)