Generator DKIM
Wygeneruj parę kluczy DKIM oraz dokładny rekord TXT do opublikowania w DNS.
Jak skonfigurować DKIM za pomocą wygenerowanego klucza
- Wpisz nazwę domeny i selektor, wybierz długość klucza i kliknij "Generuj klucze DKIM".
- W panelu DNS swojego hostingu dodaj rekord TXT. Użyj nazwy rekordu (selektor._domainkey lub pełnej nazwy FQDN) i wklej wartość rekordu TXT.
- Wprowadź klucz prywatny w ustawieniach podpisywania DKIM na swoim serwerze pocztowym, używając tego samego selektora i domeny.
- Wyślij wiadomość testową na prywatne konto Gmail i wybierz "Pokaż oryginał". Przy nagłówku DKIM powinien widnieć status PASS.
Jeśli test nie wykaże statusu PASS, upewnij się, że rekord w DNS został w pełni rozpropagowany oraz że selektor na serwerze odpowiada selektorowi w DNS. Aby zrozumieć, jak DKIM współpracuje z SPF i DMARC, przeczytaj nasz przewodnik po SPF, DKIM i DMARC.
Wybór selektora i długości klucza
Selektor to po prostu etykieta identyfikująca: wybierz nazwę, którą łatwo rozpoznasz w przyszłości. Nazwa zawierająca datę (np. s2026a) ułatwia późniejszą rotację kluczy. Może zawierać litery, cyfry i myślniki.
Zalecanym i bezpiecznym standardem długości klucza jest 2048 bitów. Gmail wymaga kluczy o długości minimum 1024 bitów i rekomenduje 2048 bitów. Zgodnie z RFC 8301 nadawcy muszą używać co najmniej 1024 bitów i powinni stosować 2048 bitów. Choć serwery odbiorcze powinny obsługiwać do 4096 bitów, rekordy 4096-bitowe bywają problematyczne w niektórych panelach DNS; wybierz 2048 bitów.
Co zawiera rekord DKIM
| Tag | Znaczenie | Przykład |
|---|---|---|
| v | Wersja protokołu. Opcjonalna, ale jeśli występuje, musi być pierwszym tagiem | v=DKIM1 |
| k | Typ algorytmu klucza. Domyślną wartością jest rsa | k=rsa |
| p | Klucz publiczny zakodowany w base64. Pusta wartość (p=) oznacza odwołanie klucza | p=MIIBIjAN... |
| t | Flagi konfiguracyjne. y oznacza tryb testowy, s blokuje użycie dla subdomen | t=y |
Istnieją jeszcze trzy rzadziej stosowane tagi: h (algorytmy skrótu), n (notatki) oraz s (typ usługi).
Dlaczego długie rekordy DKIM są dzielone
Klucz publiczny 2048-bitowy po zakodowaniu w base64 liczy około 390 znaków. Zgodnie ze specyfikacją DNS (RFC 1035) pojedynczy ciąg tekstowy w rekordzie TXT może zawierać maksymalnie 255 znaków. Dlatego tak długi klucz publikuje się w postaci dwóch lub więcej ciągów w cudzysłowach, które serwery odbiorcze łączą przed weryfikacją podpisu. Większość paneli DNS dzieli tekst automatycznie po wklejeniu całego ciągu. Format strefy BIND pozwala na podział w nawiasach w wielu wierszach.
Rotacja kluczy DKIM
Aby bezpiecznie zmienić klucze bez przerw w dostarczaniu poczty, wygeneruj nową parę pod nowym selektorem i opublikuj nowy rekord obok starego. Skonfiguruj serwer pocztowy do podpisywania nowym selektorem, a stary rekord usuń dopiero po doręczeniu wszystkich wiadomości wysłanych wcześniej.
Często zadawane pytania
Klucze są generowane w przeglądarce przy użyciu Web Crypto API. Klucz prywatny nigdy nie trafia na nasze serwery ani do osób trzecich. Ponieważ nie mamy do niego dostępu, pobierz plik klucza przed opuszczeniem witryny.
Tylko na Twoim serwerze pocztowym w konfiguracji podpisywania DKIM. Nigdy nie publikuj klucza prywatnego w DNS ani nie przesyłaj go mailem. Publiczny staje się jedynie klucz zawarty w rekordzie TXT.
Wybierz 2048 bitów, chyba że Twój rejestrator DNS nie radzi sobie z dłuższymi rekordami. Gmail wymaga minimum 1024 bitów i zaleca 2048 bitów, a RFC 8301 wskazuje 2048 bitów jako rekomendowane minimum.
Pojedynczy ciąg w rekordzie DNS TXT ma limit 255 znaków, a klucz 2048 bitów jest dłuższy. Serwery pocztowe automatycznie scalają te fragmenty podczas sprawdzania podpisu.
Większość serwerów pocztowych obsługuje format PKCS#8 (BEGIN PRIVATE KEY). Jeśli Twoje oprogramowanie wymaga formatu BEGIN RSA PRIVATE KEY, wybierz PKCS#1; to ten sam klucz zapisany w tradycyjnym standardzie.
Wyślij wiadomość z własnego serwera na konto Gmail, otwórz ją i kliknij "Pokaż oryginał". W sekcji uwierzytelniania wiersz DKIM powinien mieć oznaczenie PASS dla Twojej domeny.
Nie. Obie te usługi generują własne klucze DKIM w swoich panelach administracyjnych. Ten generator przeznaczony jest dla serwerów, na których samodzielnie kontrolujesz klucze kryptograficzne.
DKIM skonfigurowany? Sprawdź teraz swoją listę odbiorców.
1000 darmowych kredytów, bez karty płatniczej.