DKIM生成ツール

生成した鍵でDKIMを設定する方法

1. ドメインとセレクターを入力し、鍵の長さを選んで「DKIM鍵を生成」をクリックします。
2. DNSサービスの管理画面でTXTレコードを作成します。上に表示されたレコード名（selector._domainkey、またはサービスが求める場合は完全な名前）を使い、TXTの値を貼り付けます。
3. メールサーバーのDKIM署名の設定に秘密鍵を登録します。セレクターとドメインは同じものを使います。
4. 個人のGmailアカウントにテストメールを送り、「メッセージのソースを表示」を開きます。DKIMの横にPASSと表示されれば成功です。

PASSにならない場合は、DNSレコードの反映が終わっているか、サーバーのセレクターがDNSのセレクターと完全に一致しているかを確認してください。DKIMとSPF、DMARCの関係についてはSPF・DKIM・DMARCの解説をご覧ください。

セレクターと鍵の長さの選び方

セレクターは単なるラベルです。後で見て分かる名前を選んでください。s2026aのように日付を使った名前にすると、鍵を交換するときにどれが現在の鍵かがすぐに分かります。セレクターには英字、数字、ハイフンを使えます。

鍵の長さは2048ビットを選ぶのが安全です。GmailはDKIM鍵に1024ビット以上を求め、2048ビットを推奨しています。RFC 8301も、署名する側は1024ビット以上を使わなければならず、2048ビットを使うべきだと定めています。同じRFCは受信側に4096ビットまでの鍵の処理を求めていますが、4096ビットのレコードは長く、一部のDNS管理画面ではうまく扱えません。そのため、4096ビットは理由がある場合にだけ選んでください。

DKIMレコードの中身

このほかに3つのタグ（ハッシュアルゴリズムのh、メモのn、サービスの種類のs）がありますが、使うことはほとんどありません。

長いDKIMレコードが分割される理由

2048ビットの公開鍵は、base64でエンコードすると約390文字になります。DNSはTXTのデータを1つあたり最大255文字の文字列として保存します（RFC 1035）。そのため、これだけ長い鍵は2つ以上の文字列に分けて公開する必要があります。受信側は署名を確認する前に、分かれた文字列を1つに結合します。多くのDNS管理画面では、1つの文字列の形式を貼り付けると自動で分割されます。上のゾーンファイル形式は、BINDのゾーンファイルを直接編集する方のためのものです。ゾーンファイルでは文字列を括弧で囲み、レコードを複数行に分けて書けます。

DKIM鍵の交換（ローテーション）

問題を起こさずに鍵を交換するには、新しいセレクターで新しい鍵ペアを生成し、そのレコードを古いレコードと並べて公開します。サーバーの署名を新しいセレクターに切り替え、古い鍵で署名したメールの配信が終わってから古いレコードを削除します。