Tema
Bir alan adının DKIM kayıtlarını alıcı posta sunucularının bulduğu gibi sorgulayın ya da imzasını test etmek için bir e-posta yapıştırın: hangi seçiciler yanıt veriyor, kim imzalıyor, her anahtar ne kadar güçlü ve DMARC ile hizalı mı.
E-posta sağlayıcılarının kullandığı 140 seçiciyi selector._domainkey. artı alan adında sorar, çünkü DNS seçicileri listeleyemez
Yukarıya alan adını yazın: kontrol, e-posta sağlayıcılarının kullandığı 140 seçiciyi sorar, bulduğu her anahtarı boyutu ve sağlayıcısıyla gösterir ve hiçbirini bulamazsa bunu dürüstçe söyler. Seçiciyi biliyor musunuz? Alan adı + seçici seçeneğini işaretleyin, önce o kontrol edilir.
Elle sorgulamak için seçiciye ihtiyacınız var, çünkü DNS onları listeleyemez: dig +short TXT selector._domainkey.example.com ya da Windows'ta aynı adla nslookup -type=TXT. Seçici, herhangi bir e-postanın DKIM-Signature başlığındaki s= değeridir (RFC 6376 §3.6.2.1).
dig metni gösterir, ne anlama geldiğini değil: anahtarın boyutunu çözmez, sağlayıcının CNAME'ini izlemez, yedek bir yuvayı bozuk olandan ayırmaz. Bu DKIM kaydı kontrolünün eklediği tam da bu.
dnsrobot.netdig +short TXT selector._domainkey.example.comAddaki her TXT dizesi: anahtarı okumak için birleştirin.
dig neyi gösterir, neyi göstermez
$ dig +short TXT 20251104._domainkey.google.com 1
"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQ…" "…k2A8ZfpQIDAQAB"2
$ dig +short TXT 20251104._domainkey.google.com | tr -d '" \n' | sed 's/.*p=//' | base64 -d | openssl pkey -pubin -inform DER -noout -text | head -1 3
Public-Key: (2048 bit)
$ dig +short TXT selector1._domainkey.microsoft.com 4
selector1-microsoft-com._domainkey.microsoft.onmicrosoft.com.
Yanıt önce gelir, tek bir cümleyle. Altında kimin imzaladığı ve anahtarın kendisi var; her etiket tam karakterleri üzerinde renklendirilir ve anahtarın boyutu RFC 8301 ölçeğinde gösterilir; lacivert zeminde kontrolün sorduğu her seçici, böylece nelerin denendiğini görebilirsiniz.
Puan yok: kullanımdan kaldırılmış bir anahtar ya da bir sağlayıcının boş yedek seçicisi normaldir ve “yaygın seçiciler arasında bulunamadı” hiçbir zaman “DKIM yok” demek değildir.
KararTek bir cümle: kaç anahtar var ve ne yapılması gerekiyor.Kim imzalıyorSağlayıcı başına bir kart, CNAME'iyle ya da belgelenmiş bir seçiciyle bulunur. Her seçici anahtarını açar.AnahtarHer etiket kendi karakterleri üzerinde renklendirilir ve anahtarın boyutu RFC 8301 ölçeğinde gösterilir.Seçici taramasıSorulan her ad yanıtladığında yanar: yeşil anahtar, kehribar 1024 bit, kesik çizgili yedek yuva.DMARC hizalamasıBu alan adının d= değerini taşıyan bir anahtarın DMARC politikasıyla hizalı olup olmadığı.DKIM (DomainKeys Identified Mail), gönderen sunucunun her iletiye eklediği bir imzadır; alıcılar onu alan adının DNS'te yayımladığı açık anahtarla kontrol eder (RFC 6376). Geçerli bir DKIM imzası iki şeyi kanıtlar: d= içindeki alan adı imzayı attı ve imzalanan bölümler o zamandan beri değişmedi.
Gönderen gövdeyi bh= içine hash'ler ve seçilen başlıkları bu hash'le birlikte özel anahtarıyla b= içine imzalar. Alıcı d= ve s= değerlerini okur, anahtarı s._domainkey.d adresinden alır ve ikisini yeniden hesaplar. Gövdede ya da imzalı bir başlıkta tek bir bayt değişirse imza başarısız olur.
DKIM başarısız olunca ne yapılacağı hakkında hiçbir şey söylemez ve her alan adı imza atabilir. Bu DMARC'ın işi: d= değeri From: alan adıyla eşleşen geçerli bir imza ister.
Bir ileti, gönderende imzalanır, alıcıda kontrol edilir
DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=dnsrobot-sample; h=from:from:to:subject:…; bh=fohb/a+auh1W9cUN…; b=fF0aMr3Uo+mbgG…
dnsrobot-sample._domainkey.example.com TXT?"v=DKIM1; k=rsa; p=MIIBIjANBgkq…"RSA 2048
Gönderildiği hâliyle ileti
dkim=pass header.d=example.com
Aynı ileti, Subject başlığı yolda düzenlenmiş
dkim=fail (signature-mismatch)
Seçici, tek bir DKIM anahtarının adıdır: imzadaki s= değeri ve anahtarın bulunduğu DNS adının ilk etiketi (s1._domainkey.github.com). Bir alan adının istediği kadar seçicisi olabilir: sağlayıcı başına, sunucu başına, yıl başına bir tane (RFC 6376 §3.1).
Kendinizinkini bulmak için alan adının gönderdiği herhangi bir e-postayı açıp orijinaline bakın: Gmail'de Diğer (⋮) › Orijinali göster DKIM-Signature başlığını listeler, onun s= değeri seçicidir. Ya da e-postayı yukarıdaki E-postayı doğrula alanına yapıştırın.
Çoğu sağlayıcı sabit adlar kullanır, bu yüzden tarama onları bulur. Amazon SES, Postmark, SparkPost ve HubSpot hesap başına bir ad üretir; bunu yalnızca bir e-posta ya da sağlayıcının paneli söyler.
İmzadan anahtara ve sağlayıcıların kullandığı adlara
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=github.com; s=s1; …
s1._domainkey.github.comCNAME s1.domainkey.u51742174.wl175.sendgrid.netRSA 2048
| Google Workspace | yönetici ön eki değiştirebilir | |
|---|---|---|
| Microsoft 365 | selector1 · selector2 | kiracıya CNAME'ler; biri etkin, biri yedek |
| Twilio SendGrid | s1 · s2 | u<id>.wl<n>.sendgrid.net adresine CNAME'ler |
| Mailchimp | k2 · k3 | dkim2/dkim3.mcsv.net adresine CNAME'ler |
| Fastmail | fm1 · fm2 · fm3 | üç CNAME, bir seferde biri dolu |
| Proton Mail | protonmail · 2 · 3 | domains.proton.ch adresine CNAME'ler |
| Amazon SES | 3 rastgele belirteç | her biri 32 rastgele karakter: tahmin edilemez |
| Postmark | 20240101000000pm | bir tarih ve “pm”: tahmin edilemez |
| SparkPost | scph + AAYY | scph ve anahtarın yapıldığı ay |
| HubSpot | hs1-<HubID> | hesap numaranız |
DKIM kaydı, noktalı virgülle ayrılmış etiket=değer çiftlerinden oluşan bir TXT kaydıdır; yalnızca açık anahtar olan p= zorunludur. v=DKIM1 isteğe bağlıdır ama varsa ilk gelmelidir (RFC 6376 §3.6.1).
k= anahtar türünü söyler (ed25519 demedikçe rsa), t= bayrakları taşır (y test, s katı), h= hash'leri, s= hizmetleri sınırlar. Boş bir p= anahtarı bilerek iptal eder.
Etiket adları büyük küçük harfe duyarlıdır ve tekrarlanan bir etiket kaydı geçersiz kılar. Bilinmeyen etiketler yok sayılır.
Kayıt, etiket etiket
v=DKIM1; k=rsa; t=s; h=sha256; p=MIIBIjANBgkqhkiG9w…IDAQAB
| Etiket | Ne belirler | Değerler | Varsayılan | Not |
|---|---|---|---|---|
| v= | Sürüm | DKIM1 | DKIM1 | önerilir; varsa ilk |
| k= | Anahtar türü | rsa · ed25519 | rsa | bilinmeyen türler: anahtar yok sayılır |
| p= | Açık anahtar (base64) | anahtar ya da boş | zorunlu | boş = iptal edilmiş |
| t= | Bayraklar | y test · s katı | yok | y: imzasız sayılır |
| h= | İzin verilen hash'ler | sha256 (sha1 yasak) | hepsi | yalnızca sha1 başarısız (RFC 8301) |
| s= | Hizmet türü | * | yalnızca diğer hizmetler: yok sayılır | |
| n= | İnsanlar için notlar | herhangi bir metin | – | yazılım tarafından hiç okunmaz |
p= ne kadar uzun ve kaç TXT dizesi gerektiriyor
255 baytlık TXT dizesi sınırları (“v=DKIM1; k=rsa; p=” sayılarak)
2048 bit RSA kullanın. RFC 8301 doğrulayıcıların 1024 bit anahtarları hâlâ kabul etmesini şart koşar, ama göndericilerden en az 2048 ister ve doğrulayıcılara 1024 bitin altındaki anahtarları reddetmelerini söyler. M3AAWG 1024 biti “saldırının eşiğinde” olarak niteler ve 512 bit bir anahtarın yaklaşık 72 saatte, yaklaşık 75 dolara kırıldığını bildirir.
Ed25519 anahtarı küçüktür (p= için 44 karakter) ve geriye dönük uyumluluk için RFC 8463 göndericilerin yanına bir RSA imzası eklemesine izin verir: iki seçici, iki imza (RFC 8463).
Döndürmek için yeni anahtarı yeni bir seçicide yayımlayın, imzalamayı ona geçirin, yoldaki e-postalar için eski anahtarı 7 ile 30 gün tutun, sonra onun p= değerini boşaltın. M3AAWG altı ayda bir öneriyor. Fastmail ve Microsoft 365 gibi sağlayıcılar bunu yedek seçicilerle sizin yerinize yapar.
Gerçek anahtarlar RFC 8301 ölçeğinde nerede duruyor
Kesintisiz döndürme (M3AAWG)
DKIM, imzalanan baytlar değiştiğinde, anahtar bulunamadığında ya da anahtar imzayla eşleşmediğinde başarısız olur. İletiyi değiştirmeyen yönlendirme DKIM'i bozmaz (SPF'in tersine); posta listeleri altbilgi ekledikleri ya da konuyu etiketledikleri için çoğunlukla bozar.
Bu sayfadaki doğrulayıcı gövde hash'ini ve başlık imzasını ayrı ayrı kontrol eder, bu yüzden yolda eklenen bir altbilgiyi sahtecilikten ayırabilir.
Bir posta listesi 153 baytlık bir altbilgi ekledi. Başlıklar hâlâ project.example'ın anahtarıyla doğrulanıyor, bu yüzden bu sahtecilik değil.
Çözüm Gövdeyi bozmayan listeler ya da sonraki alıcıların özgün sonucu görmesi için ARC (RFC 8617).
body-hash-mismatchİmzalı bir başlık imzalandıktan sonra değişti (bir listenin Subject içine kendi adını eklemesi) ya da seçicide artık başka bir anahtar var.
Çözüm İmzalı başlıkları yeniden yazmayın; bir anahtarı değiştirmek yerine yeni bir seçicide yeni anahtar yayımlayın.
signature-mismatchs=2023old._domainkey.shop.example NXDOMAIN: seçici, onunla imzalanan e-postalar hâlâ yoldayken silindi.
Çözüm Eski anahtarları geçişten sonra 7–30 gün yayında tutun; silmek yerine p= değerini boşaltın.
key-not-foundYönlendirme: iletiyi değiştirmeden ileten bir yönlendirici DKIM'i geçerli tutar; bu yüzden SPF başarısız olsa bile DMARC genellikle DKIM sayesinde yönlendirmeden sağ çıkar.
SPF bir alan adı adına hangi sunucuların gönderebileceğini söyler, DKIM bir alan adının iletiyi imzaladığını ve iletinin değişmediğini kanıtlar, DMARC ise ikisini From: adresine bağlar ve başarısız olduklarında ne yapılacağını söyler.
Farklı sorulara yanıt verirler, bu yüzden üçüne de ihtiyacınız var: Gmail ve Yahoo toplu göndericilerden SPF ve DKIM'in yanında bir DMARC kaydı ister, RFC 9989 ise p=reject kullanan alan adlarından SPF'e güvenmek yerine DKIM ile imzalamalarını ister.
Üç kayıt, üç soru
| Üç kayıt, üç soru | SPF | DKIM | DMARC |
|---|---|---|---|
| Ne kanıtlar | Bu sunucu MAIL FROM alan adı adına gönderebilir | d= alan adı imzaladı; imzalı bölümler değişmedi | From:, SPF ya da DKIM'i geçen bir alan adıyla eşleşiyor |
| Nerede durur | github.com adresinde TXT | s1._domainkey.github.com adresinde TXT | _dmarc.github.com adresinde TXT |
| github.com bugün | v=spf1 … ~all | 12 anahtar, 6 sağlayıcı | p=quarantine; sp=reject |
| Yönlendirmeden sağ çıkar | Hayır: yönlendiricinin IP'si listede yok | Evet, ileti değişmeden ulaştığında | Evet, hizalı bir DKIM geçişiyle |
| Şu durumda bozulur | yeni bir gönderim hizmeti kayıtta yok | gövde ya da imzalı bir başlık değişiyor | From: alan adı için ikisi de geçmiyor |
SPF Kayıt KontrolüDMARC Sorgulama
Orijinal iletiyi açıp DKIM-Signature başlığını bulun: d= kimin imzaladığı, s= hangi anahtar, h= imzalı başlıkları listeler, bh= ve b= ise alıcının kontrol ettiği iki hash'tir.
Alıcının kararı, varışta eklenen ayrı bir başlıktır: Authentication-Results: … dkim=pass header.d=example.com header.s=dnsrobot-sample. Gmail'in Orijinali göster sayfası (İngilizce) bunu “DKIM: 'PASS' with domain example.com” olarak özetler.
Bir ileti birden fazla imza taşıyabilir, imzalayan başına bir tane (sizin alan adınız ve e-posta hizmetiniz ya da bir posta listesi). DMARC için hizalı d= taşıyan tek bir geçerli imza yeterlidir.
Örnek e-postanın imzası, etiket etiket
v=11; a=rsa-sha2562; c=relaxed/relaxed3; d=example.com4; s=dnsrobot-sample5; t=17928331206; h=from:from:to:subject:date:message-id:mim…7; bh=fohb/a+auh1W9c…8; b=fF0aMr3Uo+mbgG…9
Authentication-Results: mx.example.net; dkim=pass header.d=example.com header.s=dnsrobot-sample
Eksik bir şey mi var?Bir özellik ya da yeni bir araç önerin
Alan adının DMARC politikası ve hizalama ayarlarını kontrol edin
SPF kayıtlarını doğrulayın ve RFC 7208'e göre DNS sorgu sayısını kontrol edin
Tarayıcınızda bir DKIM anahtar çifti oluşturun ve yayınlanacak selector._domainkey TXT kaydını alın
Ham e-posta başlıklarını ayrıştırın ve e-posta yolculuğunu izleyin
BIMI kaydı, SVG Tiny PS logo ve VMC kontrolü, logonun göründüğü gelen kutuları
Posta değişim kayıtlarını ve posta sunucusu ayrıntılarını bulun