DKIM: wyjaśnienie
Czym dokładnie jest DKIM?
DKIM to jeden z trzech filarów uwierzytelniania poczty, obok SPF i DMARC. Nazwa to skrót od DomainKeys Identified Mail. Podczas gdy SPF sprawdza, który serwer może wysyłać, DKIM idzie krok dalej: dowodzi, że treść twojej wiadomości nie została po drodze zmieniona.
Działa to dzięki parze kluczy. Jest tajny (prywatny) klucz, który zna tylko twój serwer wysyłający, i klucz publiczny, który publikujesz w swoim DNS. Przy wysyłce serwer składa tajnym kluczem podpis na wiadomości. Odbiorca pobiera twój klucz publiczny i sprawdza nim, czy podpis się zgadza.
Pomyśl o tym jak o lakowej pieczęci na liście. Tylko ty masz pieczęć (tajny klucz), a każdy może po pieczęci poznać, czy list nie został po drodze otwarty. Jeśli podpis jest ważny, odbiorca wie dwie rzeczy: wiadomość naprawdę pochodzi z twojej domeny, a treść nie została zmanipulowana.
Co daje ci DKIM?
DKIM daje trzy konkretne korzyści.
- Dowód autentyczności. Podpis potwierdza, że wiadomość pochodzi z twojej domeny.
- Ochrona przed manipulacją. Jeśli treść zostanie po drodze zmieniona, podpis przestaje się zgadzać i to wychodzi na jaw.
- Lepsza dostarczalność. Duzi dostawcy poczty traktują ważne podpisy DKIM jako znak poważnego nadawcy, co zwiększa szansę na trafienie do skrzynki odbiorczej.
Od 2024 roku ma to jeszcze większe znaczenie: duzi dostawcy poczty wymagają od nadawców masowych, żeby ich poczta była poprawnie uwierzytelniona, a DKIM jest tego stałym elementem. Jeśli zauważasz, że twoje wiadomości mimo to trafiają do spamu, przeczytaj dlaczego moje maile trafiają do spamu.
Jak poprawnie skonfigurować DKIM?
Konfiguracja DKIM sprowadza się do dwóch rzeczy: serwer wysyłający podpisuje wiadomości, a ty publikujesz odpowiedni klucz publiczny w swoim DNS.
Kroki w ogólnym zarysie:
- Wygeneruj parę kluczy (zwykle robi to twój dostawca poczty). Tajny klucz zostaje na serwerze; klucz publiczny dostajesz ty.
- Opublikuj klucz publiczny jako rekord DNS typu TXT, pod adresem z tak zwanym selektorem, na przykład
selector1._domainkey.twojadomena.eu. - Włącz podpisywanie na serwerze wysyłającym, żeby każda wiadomość wychodząca dostawała podpis.
- Wyślij wiadomość testową i sprawdź, czy u odbiorcy podpis jest ważny.
Na co trzeba uważać:
- Selektor musi się zgadzać. Nazwa w podpisie musi dokładnie odpowiadać rekordowi DNS, który publikujesz.
- Dobrze chroń tajny klucz. Jeśli wycieknie, ktoś inny może tworzyć ważne podpisy w twoim imieniu. Wtedy wymień klucz.
- Skopiuj klucz publiczny w całości. Jeden brakujący znak unieważnia weryfikację.
- Wybierz wystarczająco silny klucz (dziś zaleca się 2048 bitów zamiast 1024 bitów).
Jeśli chcesz zrobić to samodzielnie, skorzystaj z osobnego poradnika jak skonfigurować DKIM. Zwięzłą definicję znajdziesz w słowniku pojęć: DKIM.
DKIM działa najlepiej razem z SPF i DMARC
DKIM dowodzi, że twoja wiadomość jest autentyczna i niezmieniona, ale sam w sobie nie mówi, które serwery mogą wysyłać (to robi SPF), i nie określa, co ma się stać, gdy weryfikacja się nie powiedzie (to robi DMARC). Dopiero gdy wszystkie trzy są na miejscu, drzwi są naprawdę zamknięte. Jak je ze sobą zgrać, przeczytasz w poradniku SPF, DKIM i DMARC: konfiguracja krok po kroku.
Jak Mailflux załatwia to za ciebie
W Mailflux nie musisz samodzielnie generować kluczy ani wklejać rekordów DNS. Zarządzamy SPF, DKIM i DMARC dla twojej domeny i pilnujemy reputacji IP naszych serwerów wysyłających, żeby twoja poczta wychodząca była poprawnie podpisana i niosła właściwe sygnały. Każdy plan filtruje ponadto spam, phishing i złośliwe oprogramowanie z pomocą uczenia maszynowego (machine learning), ze standardową ochroną antywirusową, antyspamową i antymalware oraz automatycznymi kopiami zapasowymi.
Dostajesz profesjonalną pocztę we własnej domenie, hostowaną w Europie i zgodną z RODO, z opcjonalną weryfikacją dwuetapową. Podpisami za kulisami zajmujemy się my.
FAQ
Najczęściej zadawane pytania
Czym różni się SPF od DKIM?
SPF sprawdza, które serwery mogą wysyłać pocztę w imieniu twojej domeny; DKIM podpisem cyfrowym dowodzi, że wiadomość naprawdę pochodzi od ciebie i nie została po drodze zmieniona. Uzupełniają się: SPF patrzy na nadawcę, DKIM na treść. Dla pełnej ochrony używasz obu, razem z DMARC.
Czym jest selektor DKIM?
Selektor to etykieta, która wskazuje, który klucz publiczny należy do danego podpisu, na przykład selector1. Dzięki temu możesz używać kilku kluczy obok siebie i bezpiecznie je wymieniać. Selektor w podpisie wiadomości wychodzącej musi dokładnie odpowiadać właściwemu rekordowi DNS, inaczej weryfikacja się nie powiedzie.
Czy muszę wymieniać klucz DKIM?
Rozsądnie jest co jakiś czas wymieniać klucz, a już na pewno wtedy, gdy podejrzewasz, że tajny klucz wyciekł. Dziś zaleca się silny klucz (2048 bitów). W zarządzanej usłudze poczty wymiana zwykle odbywa się automatycznie, bez żadnego działania z twojej strony.