Что такое DKIM?

Что это такое

DKIM использует пару ключей. Отправляющая система хранит закрытый ключ и подписывает им каждое исходящее сообщение, охватывая тело письма и выбранные заголовки, такие как From, To и Subject. Подпись передаётся в заголовке вместе с подписывающим доменом и именем селектора.

Соответствующий открытый ключ публикуется в вашем DNS по адресу selector._domainkey, за которым следует ваш домен. Получатель запрашивает его и проверяет подпись. Успешная проверка означает, что подписанные части дошли ровно в том виде, в каком были отправлены, из системы, владеющей вашим ключом.

Что подпись переживает и что её ломает

• Пересылка: подпись остаётся действительной, если сообщение пересылается без изменений, потому что она принадлежит сообщению, а не серверу, с которого оно пришло. Здесь DKIM лучше, чем SPF.
• Изменения по пути: список рассылки, добавляющий нижний колонтитул или правящий тему, или фильтр, переписывающий тело письма, ломают подпись.

Один ключ на каждую отправляющую службу

DKIM нужно включить отдельно для каждой службы, которая отправляет почту от имени вашего домена: Microsoft 365, платформа рассылок, бухгалтерская программа, которая отправляет счета по email. Каждая публикует собственный открытый ключ под своим селектором, поэтому несколько ключей могут существовать рядом. В Microsoft 365 нужно добавить две записи CNAME, указывающие на ключи, которыми управляет Microsoft. Google Workspace даёт запись TXT для публикации. Служба, отправляющая письма без собственной подписи, обычно и становится причиной сбоев после включения строгой политики DMARC.

Используйте 2048-битные ключи там, где их поддерживают служба и хостинг DNS, и время от времени заменяйте ключи; система селекторов позволяет делать это без перерыва в работе почты.

Почему это важно для бизнеса

Действительная подпись даёт получателям основание доверять вашей почте и позволяет DMARC связать её с адресом в поле From. Сам по себе DKIM не говорит, что делать с сообщением, не прошедшим проверку. См. наше руководство по аутентификации электронной почты.

Как KawaConnect работает с DKIM

Мы включаем подпись DKIM в Exchange Online и публикуем записи при настройке или миграции Microsoft 365, а затем проверяем остальные службы, из которых компания отправляет почту. См. нашу страницу о Microsoft 365 и руководство по корпоративной почте.

Подробнее

• DomainKeys Identified Mail в ВикипедииНейтральный обзор того, как работают подписи DKIM и селекторы.
• Аутентификация электронной почты в Microsoft 365Обзор от Microsoft со ссылками на шаги по включению DKIM для собственного домена.
• DMARC, DKIM и SPF в CloudflareКак DKIM сочетается с двумя другими записями, написано для неспециалистов.