DKIM 생성기

생성한 키로 DKIM 설정하는 방법

1. 도메인과 셀렉터를 입력하고 키 길이를 고른 뒤 “DKIM 키 생성”을 클릭합니다.
2. DNS 서비스에서 TXT 레코드를 만듭니다. 위에 표시된 레코드 이름(selector._domainkey, 또는 DNS 서비스가 요구하면 전체 이름)을 사용하고 TXT 값을 붙여 넣습니다.
3. 메일 서버의 DKIM 서명 설정에 개인 키를 등록합니다. 셀렉터와 도메인은 같은 값을 사용합니다.
4. 개인 Gmail 주소로 테스트 메일을 보내고 “원본 보기”를 엽니다. DKIM 옆에 PASS가 표시되어야 합니다.

PASS가 나오지 않으면 DNS 레코드 게시가 끝났는지, 서버의 셀렉터가 DNS의 셀렉터와 정확히 같은지 확인하십시오. DKIM이 SPF, DMARC와 함께 작동하는 방식은 SPF, DKIM, DMARC 설명을 참고하십시오.

셀렉터와 키 길이 고르기

셀렉터는 이름표일 뿐이므로 나중에 알아볼 수 있는 이름을 고르십시오. s2026a처럼 날짜를 넣은 이름을 쓰면 키를 교체할 때 어느 키가 현재 키인지 바로 알 수 있습니다. 셀렉터에는 영문자, 숫자, 하이픈을 쓸 수 있습니다.

키 길이는 2048비트가 안전한 기본값입니다. Gmail은 DKIM 키에 1024비트 이상을 요구하고 2048비트를 권장합니다. RFC 8301도 서명하는 쪽은 1024비트 이상을 사용해야 하며 2048비트를 사용하는 것이 좋다고 정합니다. 같은 RFC는 수신 측이 4096비트까지의 키를 처리하도록 요구합니다. 하지만 4096비트 레코드는 길어서 일부 DNS 관리 화면에서 제대로 다루지 못합니다. 따라서 4096비트는 이유가 있을 때만 선택하십시오.

DKIM 레코드의 구성

이 밖에 h(해시 알고리즘), n(메모), s(서비스 유형) 태그 3개가 더 있지만, 쓸 일은 거의 없습니다.

긴 DKIM 레코드를 나누는 이유

2048비트 공개 키는 base64로 인코딩하면 약 390자가 됩니다. DNS는 TXT 데이터를 문자열 하나당 최대 255자로 저장합니다(RFC 1035). 그래서 이렇게 긴 키는 문자열 2개 이상으로 나누어 게시해야 하고, 수신 측은 서명을 확인하기 전에 나뉜 문자열을 다시 하나로 합칩니다. 대부분의 DNS 관리 화면은 단일 문자열 형식을 붙여 넣으면 값을 자동으로 나눕니다. 위의 존 파일 형식은 BIND 존 파일을 직접 편집하는 사용자를 위한 것입니다. 존 파일에서는 문자열을 괄호 안에 넣어 레코드를 여러 줄에 걸쳐 쓸 수 있습니다.

DKIM 키 교체(로테이션)

문제없이 키를 바꾸려면 새 셀렉터로 새 키 쌍을 생성하고, 그 레코드를 기존 레코드와 함께 게시합니다. 서버가 새 셀렉터로 서명하도록 바꾼 뒤, 기존 키로 서명한 메일이 모두 전달되면 기존 레코드를 삭제합니다.