Глоссарий
DKIM
DKIM подписывает исходящую почту закрытым ключом; открытый ключ в DNS позволяет получателям убедиться, что письмо не изменено и не подделано.
Что такое DKIM
DomainKeys Identified Mail прикрепляет цифровую подпись к каждому исходящему письму. Отправляющий сервер вычисляет хеш по выбранным заголовкам и телу, подписывает его закрытым ключом и добавляет заголовок DKIM-Signature. Соответствующий открытый ключ публикуется в DNS как TXT-запись на selector._domainkey.example.com, где селектор — короткая метка, выбранная отправителем, чтобы несколько ключей могли сосуществовать. Получатель читает селектор из заголовка подписи, получает ключ и проверяет подпись. Если она сходится, письмо авторизовано доменом и не изменено в пути.
Заголовок подписи несет главное в виде тегов: d= — подписывающий домен, s= — селектор, h= — список подписанных заголовков, b= — сама подпись.
Почему это важно
SPF авторизует серверы; DKIM авторизует письма. Разница важна всякий раз, когда почта проходит через промежуточный сервер — рассылку или адрес пересылки: SPF проваливается, потому что IP пересылающего не авторизован, а подпись DKIM сохраняется, пока содержимое не изменено. Крупные получатели придают действительной подписи DKIM большой вес при решении, попадет ли письмо во входящие, а DMARC опирается на нее, чтобы выровнять видимый домен From: с аутентифицированной идентичностью.
DKIM помогает и с репутацией. Поскольку подпись привязывает письмо к домену, а не к IP-адресу, история отправителя следует за доменом даже при смене отправляющей инфраструктуры.
Как проверить
Найдите селектор в заголовке DKIM-Signature письма, затем через DNS-запрос запросите TXT-запись на selector._domainkey.yourdomain.com. Корректная запись начинается с v=DKIM1 и содержит тег p= с открытым ключом; пустой p= означает, что ключ отозван. Чтобы увидеть, принимают ли получатели ваши подписи, вставьте полные заголовки доставленного письма в анализ заголовков письма и прочитайте строку Authentication-Results, где будет dkim=pass или причина сбоя.
Распространенные проблемы
- DNS-запись разбита на несколько строк и неправильно собрана, либо ключ обрезан ограничением длины у провайдера.
- Письмо изменено после подписания — часто подписью или дисклеймером, добавленным шлюзом.
- Селектор в заголовке не совпадает с опубликованным.
- Ключи короче 1024 бит крупные получатели отклоняют; сегодня обычный выбор — 2048 бит.
Распространенное заблуждение
DKIM не шифрует почту и не доказывает, кто ее написал. Он доказывает, что письмо обработал сервер с закрытым ключом домена и что оно дошло целым.