DKIM Generator
Buat pasangan kunci DKIM dan catatan TXT yang tepat untuk dipublikasikan di DNS Anda.
Cara menyiapkan DKIM dengan kunci yang dihasilkan
- Masukkan nama domain dan selektor, pilih ukuran kunci, lalu klik "Buat kunci DKIM".
- Di panel DNS penyedia hosting Anda, buat catatan TXT. Gunakan nama yang ditampilkan di atas (selektor._domainkey atau nama FQDN lengkap) lalu tempelkan nilai TXT.
- Pasang kunci privat pada pengaturan penandatanganan DKIM di mail server Anda, dengan selektor dan domain yang sama persis.
- Kirim email uji coba ke akun Gmail pribadi dan buka "Lihat versi asli". Di samping baris DKIM harus tertera PASS.
Jika verifikasi gagal, pastikan catatan DNS telah terpropagasi dan selektor pada mail server cocok dengan yang ada di DNS. Untuk memahami integrasi antara SPF, DKIM, dan DMARC, baca panduan penjelasan SPF, DKIM, dan DMARC.
Memilih selektor dan ukuran kunci
Selektor hanyalah sebuah label pengenal: pilihlah nama yang mudah Anda kenali di masa mendatang. Format berbasis tanggal seperti s2026a memudahkan identifikasi kunci mana yang aktif saat melakukan rotasi berkala. Selektor dapat memuat huruf, angka, dan tanda hubung.
Untuk ukuran kunci, 2048 bit adalah standar default yang aman. Gmail mensyaratkan kunci DKIM minimal 1024 bit dan merekomendasikan 2048 bit. Berdasarkan RFC 8301, pengirim email wajib menggunakan minimal 1024 bit dan sangat disarankan 2048 bit. Meskipun server penerima mendukung hingga 4096 bit, beberapa panel DNS kesulitan memproses catatan sepanjang itu; gunakan 2048 bit.
Apa saja isi catatan DKIM
| Tag | Arti | Contoh |
|---|---|---|
| v | Versi protokol. Bersifat opsional, namun jika ada wajib diletakkan di awal | v=DKIM1 |
| k | Jenis algoritma kunci. Default-nya adalah rsa | k=rsa |
| p | Kunci publik yang dienkode dalam base64. Nilai p= kosong menandakan kunci telah dicabut | p=MIIBIjAN... |
| t | Flag penanda. y berarti mode uji coba, s membatasi agar tidak berlaku untuk subdomain | t=y |
Terdapat tiga tag tambahan lain (h untuk algoritma hash, n untuk catatan, dan s untuk tipe layanan), namun tag tersebut sangat jarang dibutuhkan.
Mengapa catatan DKIM yang panjang dipecah
Kunci publik 2048 bit memiliki panjang sekitar 390 karakter setelah dienkode ke base64. Protokol DNS menyimpan data TXT dalam batas maksimal 255 karakter per string (RFC 1035). Karena itu, kunci sepanjang ini harus dipublikasikan dalam dua string atau lebih di dalam tanda kutip, yang nantinya digabungkan kembali oleh server penerima sebelum memvalidasi tanda tangan. Sebagian besar panel DNS memecah string ini secara otomatis saat Anda menempelkan versi satu baris. Format zona BIND digunakan saat mengedit file zona server DNS secara manual.
Rotasi kunci DKIM secara berkala
Untuk mengganti kunci dengan aman tanpa mengganggu pengiriman email, buat pasangan kunci baru dengan selektor baru dan publikasikan catatan DNS-nya berdampingan dengan catatan lama. Alihkan mail server Anda untuk menandatangani email dengan selektor baru, lalu hapus catatan lama setelah semua email yang ditandatangani kunci lama selesai terkirim.
Pertanyaan umum
Pasangan kunci dibuat langsung oleh Web Crypto API bawaan browser Anda. Kunci privat tidak pernah dikirim ke server kami ataupun pihak ketiga. Kami tidak dapat memulihkannya, jadi pastikan Anda mengunduhnya sebelum menutup halaman.
Hanya di mail server atau MTA Anda, tepatnya pada pengaturan tanda tangan DKIM. Jangan pernah memasukkannya ke DNS atau mengirimkannya via email. Hanya kunci publik dalam nilai TXT yang dipublikasikan ke publik.
Gunakan 2048 bit kecuali jika penyedia DNS Anda tidak mendukung catatan panjang. Gmail menetapkan 1024 bit sebagai batas minimum dan menyarankan 2048 bit, sementara RFC 8301 mewajibkan standar 2048 bit.
Setiap string dalam catatan DNS TXT memiliki batas maksimal 255 karakter, dan kunci 2048 bit melebihi batas tersebut. Server penerima akan menggabungkan pecahan string tersebut saat memverifikasi tanda tangan.
Sebagian besar mail server modern menerima format standar PKCS#8 (BEGIN PRIVATE KEY). Jika software mail server Anda memerlukan BEGIN RSA PRIVATE KEY, gunakan versi PKCS#1; keduanya merupakan kunci yang sama dalam format berbeda.
Kirim email dari server Anda ke akun Gmail pribadi, buka pesan tersebut, lalu pilih "Lihat versi asli". Pada bagian header autentikasi, status DKIM harus menunjukkan PASS untuk domain Anda.
Tidak. Google Workspace dan Microsoft 365 membuat kunci DKIM mereka sendiri di dalam panel konsol admin masing-masing. Generator ini khusus untuk mail server mandiri di mana Anda mengelola kunci penandatanganan sendiri.
DKIM sudah terpasang? Sekarang saatnya verifikasi daftar email Anda.
1.000 kredit gratis, tanpa kartu kredit.