Cipta nama hos DNS DKIM dan format rekod TXT yang betul untuk domain dan pemilih anda. Tampal kunci awam anda dan terbitkan.
Nilai lazim: mail, google, s1, default. Gunakan pemilih yang ditentukan oleh penyedia e-mel anda.
DKIM (DomainKeys Identified Mail) ialah kaedah autentikasi e-mel yang membolehkan pengirim menandatangani setiap mesej keluar secara kriptografi. Pelayan e-mel penerima mengesahkan tandatangan ini menggunakan kunci awam yang diterbitkan dalam DNS pengirim. Tandatangan DKIM yang sah membuktikan dua perkara: mesej itu benar-benar datang daripada domain yang dinyatakan, dan mesej itu tidak diubah semasa transit.
Berbeza dengan SPF yang menyemak IP penghantaran terhadap senarai yang dibenarkan, DKIM berfungsi dengan melekatkan tandatangan digital pada mesej itu sendiri. Ini bermakna pengesahan DKIM kekal berkesan selepas e-mel dimajukan, di mana SPF sering gagal kerana IP pelayan pemajuan tidak berada dalam rekod SPF asal.
Rekod DKIM ialah rekod DNS TXT yang diterbitkan pada subdomain tertentu: selector._domainkey.yourdomain.com. Pemilih ialah label yang anda pilih — nilai lazim ialah mail, google, s1, atau default. Nilai rekod bermula dengan v=DKIM1; k=rsa; p= diikuti kunci awam anda yang dikodkan base64.
Kunci peribadi disimpan secara rahsia pada pelayan e-mel anda atau diurus oleh penyedia perkhidmatan e-mel anda. Kunci awam ialah apa yang anda terbitkan dalam DNS. Pelayan penerima menggunakan kunci awam untuk mengesahkan tandatangan yang dicipta oleh kunci peribadi — corak kriptografi kunci awam yang klasik.
Kunci awam DKIM anda dijana oleh penyedia e-mel anda apabila anda mengaktifkan penandatanganan DKIM. Berikut tempat mencarinya bagi penyedia yang paling lazim:
Gunakan panjang kunci 2048-bit jika boleh — kunci 1024-bit dianggap lemah dan mungkin ditandai oleh sesetengah sistem e-mel. Putarkan kunci DKIM anda secara berkala (sekurang-kurangnya setiap tahun) untuk menghadkan pendedahan jika kunci pernah dikompromi. Kekalkan kunci lama dalam DNS selama beberapa hari selepas putaran supaya mesej yang masih dalam transit dapat disahkan.
DKIM sahaja tidak melindungi pengepala From yang kelihatan. Untuk melengkapkan persediaan autentikasi e-mel anda, tambah dasar DMARC yang menyelaraskan keputusan DKIM dengan domain From. Senarai e-mel yang bersih juga penting — e-mel yang telah diautentikasi pun masuk ke spam jika ia berulang kali gagal dihantar. Gunakan pengesahan e-mel untuk mengalih keluar alamat yang tidak sah, atau sahkan senarai besar dengan pengesahan e-mel pukal.
Input kunci dan pemilih
Rekod DNS DKIM menerbitkan kunci awam di bawah pemilih. Kunci peribadi yang sepadan mesti kekal di dalam sistem yang menandatangani mesej keluar.
Pemilih seperti google, s1, atau mail menjadi selector._domainkey.example.com. Penyedia berbeza dan tempoh putaran boleh menggunakan pemilih berbeza tanpa menggantikan setiap kunci DKIM untuk domain tersebut.
Pilih pemilih yang dikonfigurasi oleh platform penghantaran anda untuk diletakkan dalam teg s= pada pengepala DKIM-Signature. Rekod DNS di bawah pemilih yang berbeza tidak akan pernah ditanya untuk mesej tersebut.
Nilai p= ialah kunci awam yang dikodkan base64 yang digunakan oleh penerima. Kunci peribadi menandatangani mesej dan mesti kekal rahsia dalam penyedia anda, ejen pemindahan e-mel, atau sistem kunci selamat.
Penjana ini memformat nama pemilik DNS dan nilai TXT di sekitar kunci awam. Ia tidak mencipta atau memasang konfigurasi penandatanganan peribadi yang digunakan oleh aliran e-mel anda.
Anatomi rekod
Rekod DNS adalah kecil, tetapi setiap medan berkaitan dengan keputusan tandatangan di peringkat mesej.
Teg versi membezakan data kunci DKIM daripada kandungan TXT lain. k=rsa mengenal pasti jenis kunci apabila RSA digunakan, dan p= membawa bahan kunci awam tanpa pengepala PEM atau teks kunci peribadi.
Penerima menggabungkan domain penandatanganan dalam d= dengan pemilih dalam s= untuk membina pertanyaan DNS. Nama pemilik yang dijana mesti sepadan dengan pasangan itu dengan tepat, termasuk sebarang subdomain penghantaran.
Penyedia DNS kadangkala memecahkan nilai DKIM yang panjang kepada beberapa rentetan aksara bertanda petikan. DNS menyambungkan rentetan tersebut untuk respons TXT; tanda petikan dan jarak yang ditunjukkan dalam panel kawalan tidak secara automatik menjadi sebahagian daripada kunci awam.
DNS boleh mengandungi rekod yang sah sementara pengirim tidak menyertakan DKIM-Signature, menandatangani dengan pemilih lain, menggunakan domain yang tidak sepadan, atau gagal dalam kanonikalisasi. Sahkan laluan mesej selepas penerbitan.
Aliran kerja penerapan
Pastikan penerbitan DNS dan penandatanganan sistem e-mel disegerakkan melalui empat langkah yang jelas.
Gunakan persediaan autentikasi domain penyedia atau alat kunci yang disokong pelayan e-mel anda. Utamakan saiz kunci semasa yang disokong oleh pengirim dan hos DNS, dan jangan sekali-kali menampal kunci peribadi ke halaman ini.
Masukkan domain penghantaran, pemilih, dan kunci awam yang tepat. Salin pemilik dan nilai secara berasingan kerana antara muka DNS berbeza sama ada mereka menambahkan nama zon secara automatik.
Tunggu TTL DNS yang berkenaan, kemudian gunakan Pemeriksa Rekod DKIM untuk mengesahkan bahawa selector._domainkey mengembalikan kunci awam yang dijangka.
Semak pengepala DKIM-Signature dan Authentication-Results yang diterima untuk domain d= yang dijangka, pemilih s=, dan dkim=pass. Kejayaan DNS tanpa lulus di peringkat mesej ialah penerapan yang tidak lengkap.
Sempadan keselamatan
Rekod awam hanyalah bahagian DKIM yang menghadap penerima.
Penyimpanan kunci peribadi, kawalan akses, konfigurasi perkhidmatan penandatanganan, dan putaran insiden milik penyedia e-mel atau pelayan anda. Mendedahkan kunci peribadi membolehkan sistem lain mencipta tandatangan yang mungkin dipercayai penerima.
Sistem e-mel memutuskan pengepala dan representasi badan mana yang ditandatangani. Perantara yang mengubah kandungan yang ditandatangani boleh membatalkan tandatangan walaupun kunci DNS adalah betul.
Terbitkan rekod SPF untuk menerangkan pengirim envelope yang dibenarkan. DKIM dan SPF menyediakan bukti yang berbeza dan sepatutnya diterapkan bersama.
Gunakan Penjana DMARC untuk menyatakan cara penerima harus mengendalikan e-mel apabila SPF dan DKIM yang selaras tidak menyokong domain From yang kelihatan.
Rujukan berwibawa
Standard ini menghubungkan kunci DNS awam dengan medan tandatangan yang ditambahkan pada setiap mesej.
Standard IETF RFC 6376 mentakrifkan ruang nama _domainkey, carian pemilih, teg DKIM-Signature, kanonikalisasi, penandatanganan, dan tingkah laku pengesahan.
Semak kunci awam dengan Pemeriksa DKIM, periksa pengepala mesej sebenar, dan sahkan penjajaran melalui Pemeriksa DMARC.
Pilih alat seterusnya mengikut jenis bukti: penerima, penemuan, DNS dan infrastruktur, atau aliran kerja penghantar.
Alat percuma
Semak rekod DKIM sebarang domain dan pemilih. Lihat kunci awam penuh dan sama ada penandatanganan DKIM dikonfigurasi dengan betul. Percuma, tanpa daftar.
Bukti domain atau infrastruktur — bukan bukti peti mel.
Alat percuma
Jana rekod DNS SPF yang sah untuk domain anda dalam beberapa saat. Tambah pelayan mel, arahan include dan pilih polisi. Percuma, tiada pendaftaran.
Bukti domain atau infrastruktur — bukan bukti peti mel.
Alat percuma
Bina rekod TXT DNS DMARC dengan pilihan polisi, penjajaran dan pelaporan. Penjana percuma untuk pengesahan e-mel domain.
Bukti domain atau infrastruktur — bukan bukti peti mel.
Alat percuma
Semak rekod A, AAAA, MX, TXT, NS atau CNAME untuk mana-mana domain. Jalankan carian DNS langsung dengan hasil segera. Percuma, tanpa pendaftaran.
Bukti domain atau infrastruktur — bukan bukti peti mel.
Alat e-mel
Jalankan ujian kebolehhantaran e-mel pada sampel mesej sebenar. Semak bukti SPF, DKIM, DMARC, DNS, senarai hitam, penapis spam, header dan kandungan.
Diagnostik penghantar atau mesej — bukan penemuan alamat.
Alat pengesahan e-mel
Semak sama ada alamat e-mel sah melalui pengesah e-mel percuma: sintaks, MX, peti mel SMTP, e-mel pakai buang, akaun peranan dan Catch-All.
Bukti penerima — bukan konfigurasi penghantar atau DNS.
Pemilih DKIM ialah nama pendek (seperti mail atau google) yang menunjuk ke kunci awam tertentu dalam DNS. Ia membolehkan anda menerbitkan berbilang kunci untuk domain yang sama — contohnya satu untuk Google Workspace dan satu lagi untuk ESP pemasaran.
Terbitkannya sebagai rekod TXT di selector._domainkey.yourdomain.com. Gantikan selector dengan nilai yang diberikan penyedia anda dan yourdomain.com dengan domain penghantaran anda.
SPF menyemak IP yang menyambung. Selepas dimajukan, IP yang menyambung berubah dan SPF sering gagal. DKIM menandatangani kandungan mesej dan pengepala terpilih, jadi pengesahan masih berfungsi selepas banyak pemajuan.
Utamakan kunci 2048-bit jika penyedia DNS anda menyokong nilai TXT yang panjang. Sesetengah hos DNS lama memerlukan pecahan rekod yang panjang; kebanyakan penyedia moden mengendalikan kunci 2048-bit dengan baik.
Tidak. Gunakan kedua-duanya. SPF membenarkan IP penghantaran; DKIM menandatangani mesej. DMARC kemudian menyelaraskan keputusan tersebut dengan domain From dan memberitahu penerima apa yang perlu dilakukan jika gagal.
Hantar mesej ujian ke peti mel yang anda kawal, buka pengepala mentah, dan cari dkim=pass dalam Authentication-Results. Anda juga boleh menggunakan alat Penganalisis Pengepala E-mel kami.
Autentikasi melindungi domain anda. Senarai bersih melindungi reputasi anda. BillionVerify mengesahkan alamat dengan ketepatan peringkat SMTP.
600 kredit percuma/bulan + 20/hari bonus log masuk · Ketepatan SMTP 99.9% · Akses API serta-merta · Tiada kad kredit diperlukan
