Tema

Popüler araçlar

DKIM Kaydı Oluşturucu

Tarayıcınızda bir DKIM anahtar çifti üretin ve yayımlayacağınız DKIM kaydını alın. Google Workspace veya Microsoft 365 mi kullanıyorsunuz? Anahtarı onlar üretir: nerede olduğunu gösteriyoruz.

Anahtarlar tarayıcınızda Web Crypto ile üretilir, hiçbir yere gönderilmez · RFC 6376, 8301 ve 8463 · 20 göndericinin DKIM kurulumu kontrol edildi
DNS, tarayıcınızdan okunur

Alan adınızın zaten yayımladığı anahtarları ve onları kimin oluşturduğunu arar. Ya da aşağıdan e-postanızı kimin imzalayacağını seçin.

Deneyin

Tarayıcınızda oluşturulur. Yalnızca DNS soruları tarayıcıdan çıkar: HTTPS ile Cloudflare'in çözümleyicisine (ikinci görüş olarak Google'ınkine) gider.

Örnek

example.com için bir anahtar üretin

Tarayıcınızda Web Crypto ile üretilir. Özel anahtar bu sekmeden hiç çıkmaz.

E-postanızı kim imzalıyor?
Kendi anahtarını üretir
Sizin anahtarınızı alır
Sizin anahtarınızı kullanır
kAnahtar türü

RFC 8301'in istediği. Olağan seçim.

sSeçici
._domainkey.example.com
Her yeni anahtar için yeni bir ad. Tarihli adlar, anahtarın ne zaman üretildiğini söyler.
tKayıt seçenekleri
Gelişmiş
Tarayıcınızda Web Crypto ile üretilir. Özel anahtar bu sekmeden hiç çıkmaz.

Anahtarınız

Özel anahtar · Sunucunuzda saklayınİzole çerçeve: ağ yok ve bu sayfadaki başka hiçbir betik onu okuyamaz

Çevrimdışı çalışır: Wi-Fi bağlantınızı kapatın ve yeniden üretin.

OpenDKIM kurulumu

Anahtar dosyası
# Key file: only the opendkim user may read it
$ sudo mkdir -p /etc/opendkim/keys/example.com
$ sudo nano /etc/opendkim/keys/example.com/s.private
$ sudo chown -R opendkim:opendkim /etc/opendkim/keys
$ sudo chmod 600 /etc/opendkim/keys/example.com/s.private

Döndürme planı

  1. Bugün adını yayımlayın, ardından onunla imzalamaya başlayın.
  2. Altı ay sonra… anahtarını üretin ve yanında yayımlayın.
  3. Geçiş… ile imzalayın.
  4. 7 ila 30 gün sonraHâlâ yolda olan e-postalar için kaydını yayımda tutun.
  5. İptal adına boş bir anahtar yayımlayın, silmeyin.v=DKIM1; k=rsa; p=

Yayımladıktan sonra

Tam kontrol: example.comBağlantı bu ayarları taşır, anahtarı asla. Tarayıcınızdan soruldu: Cloudflare'in çözümleyicisi, ikinci görüş olarak Google'ınki.

DKIM anahtarı ve kaydı nasıl üretilir?

Bir RSA 2048 anahtar çifti üretin, özel anahtarı e-postanızı imzalayan sunucuda tutun ve genel anahtarı selector._domainkey.yourdomain adında bir TXT kaydı olarak yayımlayın (RFC 6376).

Her anahtar için, üretildiği ay gibi yeni bir seçici adı seçin; böylece onunla imzalanan e-postalar hâlâ yoldayken eski anahtar yayımda kalabilir.

Ardından özel anahtarı imzalayıcınıza kurun ve bir test iletisi gönderin: DKIM-Signature başlığı, alıcıların sorgulayacağı alan adını (d=) ve seçiciyi (s=) belirtir.

Özel anahtare-posta sunucunuzda kalırher iletiyi imzalar
DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=s202610; …
Genel anahtarDNS'te yayımlanırs202610._domainkey.example.comalıcılar onunla doğrular ✓
Tek anahtarın iki yarısı
DKIM oluşturucu: izole bir tarayıcı çerçevesinde RSA 2048 özel anahtar, OpenDKIM dosyaları ve bir anahtar döndürme planıDKIM oluşturucu: izole bir tarayıcı çerçevesinde RSA 2048 özel anahtar, OpenDKIM dosyaları ve bir anahtar döndürme planıBaşka hiçbir betiğin okuyamadığı özel anahtarAğa erişemeyen izole bir çerçevede üretilir ve orada tutulur.İmzalayıcınızın okuduğu biçimPKCS#8, PKCS#1 veya tek satır base64, imzalayıcınıza göre seçilir.Sıfır istek ve çevrimdışı çalışırÜret düğmesine bastığınızdan beri ağ isteklerinin canlı sayımı.İmzalayıcınızın dosyalarıOpenDKIM, rspamd, Exim, Postfix veya Amazon SES; alan adınız ve seçiciniz doldurulmuş olarak.Tarihli bir seçiciAdı anahtarın ne zaman üretildiğini söyler; aşağıdaki döndürme planı sonraki anahtarı ve iptali tarihler.
OpenDKIM için Web Crypto ile üretilmiş bir RSA 2048 anahtarı: ağsız izole çerçevede özel anahtar, doldurulmuş imzalayıcı dosyaları ve gerçek tarihli döndürme planı.

Kendi DKIM anahtarımı üretmem gerekir mi?

Yalnızca e-postanızı kendi sunucunuz imzalıyorsa: Google Workspace, Microsoft 365 ve çoğu e-posta hizmeti anahtarı kendisi üretir ve yayımlayacağınız kaydı gösterir; bu yüzden herhangi bir oluşturucudan alınan bir anahtar hiç kullanılmaz.

Kendi anahtarınız, OpenDKIM'li Postfix, rspamd, Exim, Haraka, kendi uygulamanız ve Amazon SES (BYODKIM) ile Mailgun gibi anahtar kabul eden hizmetler için önemlidir.

GöndericiAnahtarı üretenYayımlayacağınızSeçiciler
Google WorkspacesağlayıcıTXT (onların anahtarı)google
Microsoft 365sağlayıcıanahtarlarına CNAME'lerselector1, selector2
SendGridsağlayıcıanahtarlarına CNAME'lers1, s2
Mailchimpsağlayıcıanahtarlarına CNAME'lerk2, k3
PostmarksağlayıcıTXT (onların anahtarı)<date>pm
Brevosağlayıcıanahtarlarına CNAME'lerbrevo1, brevo2
Zoho MailsağlayıcıTXT (onların anahtarı)zoho
Amazon SESikisinden biriTXT (sizin anahtarınız)herhangi biri
Mailgunikisinden biriTXT (sizin anahtarınız)herhangi biri
OpenDKIMsizTXT (sizin anahtarınız)herhangi biri
rspamdsizTXT (sizin anahtarınız)herhangi biri
EximsizTXT (sizin anahtarınız)herhangi biri
Anahtarı kim üretir

Bir DKIM kaydında neler var?

selector._domainkey.domain adında bir TXT kaydı: v=DKIM1, anahtar türü k= ve genel anahtar p= içerir; isteğe bağlı etiketler özetleri (h=) veya hizmetleri (s=) sınırlar ya da anahtarı test olarak (t=) işaretler.

Boş bir p= anahtarın iptal edildiği anlamına gelir. RSA anahtarları OpenDKIM ve rspamd'nin şart koştuğu bir SubjectPublicKeyInfo olarak, Ed25519 anahtarları ham 32 bayt olarak yayımlanır.

s202610._domainkey.example.com · TXT
v=DKIM1; k=rsa; h=sha256; s=email; p=MIIBIjANBgkqhkiG9w0BAQ…GQIDAQAB
EtiketAnlamıVarsayılan
vSürüm, varsa ilk sıradaDKIM1
kAnahtar türü: rsa veya ed25519rsa
hİzin verilen özetlertümü
sHizmetler: email veya **
ty = test, s = tam alan adıyok
nİnsanlar için notlaryok
pGenel anahtar; boş = iptal edildizorunlu
Bir DKIM kaydı, etiket etiket

RSA 1024, 2048, 4096 mı yoksa Ed25519 mu?

RSA 2048 kullanın: 1024 alıcıların kabul ettiği en küçük boyuttur, 4096 DNS'i zorlar ve Ed25519 kısadır ama bağımsız testler büyük posta kutusu sağlayıcılarının onu doğrulamadığını gösterdi; bu yüzden yalnızca bir RSA imzasının yanında işe yarar.

Birçok araç hâlâ 1024'ü varsayılan yapıyor: opendkim-genkey, rspamd'nin dkim_keygen'i ve Microsoft 365. RFC 8301 2048 ister.

Ed25519 eklerseniz ikinci bir seçicinin altında RSA ile de imzalayın; birkaç hizalı imzadan biri başarısız olursa Yahoo DMARC'ı geçirmeyebilir.

RSA 1024234 karakter · 1en küçük boyut
RSA 2048410 karakter · 2önerilen
RSA 3072582 karakter · 3imzalayıcınızı kontrol edin
RSA 4096754 karakter · 3UDP'ye sığmayabilir
Ed2551966 karakter · 1büyük sağlayıcılar tarafından doğrulanmıyor

255 baytlık dizeler: 255, 510, 765

Anahtar türüne göre kayıt uzunluğu

OpenDKIM, rspamd veya Exim nasıl kurulur?

Özel anahtarı yalnızca imzalayıcının okuyabileceği bir yerde saklayın, imzalayıcının yapılandırmasında alan adınızı ve seçicinizi ona eşleyin ve yeniden başlatın; sekmeler her imzalayıcının dosyalarını adlarınız doldurulmuş olarak gösterir.

Sonucu, kendinize bir ileti gönderip başlıklardaki DKIM sonucunu okuyarak ya da DKIM kontrolümüzle doğrulayın.

OpenDKIM · KeyTable · SigningTable
# /etc/opendkim/KeyTable
s202610._domainkey.example.com example.com:s202610:/etc/opendkim/keys/example.com/s202610.private

# /etc/opendkim/SigningTable
*@example.com s202610._domainkey.example.com

# /etc/opendkim/TrustedHosts
127.0.0.1
localhost
Rspamd · dkim_signing.conf
# /etc/rspamd/local.d/dkim_signing.conf
domain {
  example.com {
    selector = "s202610";
    path = "/var/lib/rspamd/dkim/example.com.s202610.key";
  }
}
# only if example.com is a subdomain: use_esld = false;
# only if users log in without @example.com: allow_username_mismatch = true;

$ sudo rspamadm configtest && sudo systemctl restart rspamd
İmzalayıcınızın dosyaları

DKIM kaydım neden birkaç dizeye bölünmüş?

2048 bitlik bir anahtar kaydı yaklaşık 410 karakterdir, yani tek bir 255 baytlık TXT dizesinden uzundur; bu yüzden DNS onu, doğrulayıcıların aralarında hiçbir şey olmadan birleştirdiği iki dize olarak saklar.

Cloudflare, Azure ve cPanel tarzı paneller değerin tamamını alıp böler; Route 53 ve Google Cloud DNS tırnaklı dizeleri yapıştırmanızı ister. GoDaddy bir değeri 1.024 karakterle sınırlar.

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAtw0DwsqwlKexAE5H5WDgWwJlEz/C+7FIeL9/Y1TahjkvMvvX+lUQofjxhVmt/yMXVjvgrYb9jZIxtG96iO9qggOWi0vAeClBst4m3rj3O7GjkC/dfbG2BhQBpwJYt6ec76B8y6cyHBZ0+hMWGfAxuLQt/kkiVsaqwRxRQvEuMfnL4L9S8I7evV8GHFihlEgIaM9W8ag4zzL0ZxiEeznDaHYmJDbmgzarExXIY1IuMdpPu1/GmSrq9RCHEifKVvKsOPcmbv2u6xMbW63/EZmPIY78eZRqkioT8TangIPKsP7HEFZRKQwnQJy/OybqexdiFmt29BXBo7A745shhzueGQIDAQAB
1255 B2155 B
s202610._domainkey.example.com. 3600 IN TXT ( "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAtw0DwsqwlKexAE5H5WDgWwJlEz/C+7FIeL9/Y1TahjkvMvvX+lUQofjxhVmt/yMXVjvgrYb9jZIxtG96iO9qggOWi0vAeClBst4m3rj3O7GjkC/dfbG2BhQBpwJYt6ec76B8y6cyHBZ0+hMWGfAxuLQt/kkiVsaqwRxRQvEuMfnL4L9S8I7evV8GHFihlEgIa"
	"M9W8ag4zzL0ZxiEeznDaHYmJDbmgzarExXIY1IuMdpPu1/GmSrq9RCHEifKVvKsOPcmbv2u6xMbW63/EZmPIY78eZRqkioT8TangIPKsP7HEFZRKQwnQJy/OybqexdiFmt29BXBo7A745shhzueGQIDAQAB" )
2048 bitlik bir kayıt, DNS'in sakladığı biçimde

DKIM anahtarları nasıl döndürülür?

Yeni bir seçici altında yeni bir anahtar yayımlayın, imzalamayı ona geçirin, yolda olan e-postalar için eski kaydı 7 ila 30 gün tutun, ardından boş bir p= ile iptal edin; M3AAWG en az altı ayda bir döndürmeyi söyler.

Silmek yerine iptal edin; böylece doğrulayıcılar eski seçiciyi iptal edilmiş olarak bildirir. Yeni bir anahtar için asla eski bir seçici adını yeniden kullanmayın.

KasAraOcaŞubMarNisMayHazTem
s202611imzalar7–30 gün tutulurp= (iptal edildi)
s202705imzalar
İki seçici, tek devir

Çevrimiçi DKIM anahtarı üretmek güvenli mi?

Yalnızca anahtar tarayıcınızda üretilip hiçbir yere gönderilmiyorsa: bu sayfa onu, ağa erişemeyen izole bir çerçevenin içinde Web Crypto ile üretir ve bunu tarayıcınızın geliştirici araçlarından doğrulayabilirsiniz.

Bazı çevrimiçi oluşturucular anahtarı kendi sunucusunda üretip yanıtta geri gönderir; orada günlüğe kaydedilebilir ya da saklanabilir. Tarayıcınızda üretilen anahtar, siz kaydedene kadar yalnızca sekmenizde bulunur.

Bu sayfadaki başka hiçbir betik anahtarı tutan çerçeveyi okuyamaz ve sayfa çevrimdışı çalışır: Wi-Fi bağlantınızı kapatın ve yeniden üretin.

Tarayıcınızda üretildiizole çerçeveçevrimdışı çalışır0ağ istekleri
Bir sunucuda üretildiGET /generate?key_size=2048200 {"private_key": "-----BEGIN…"}günlüğe kaydedilebilir
Özel anahtar nereden geçer

DKIM Kaydı Oluşturucu SSS

DKIM kaydı nedir?

DKIM kaydı, bir anahtar çiftinin genel yarısını yayımlayan selector._domainkey.yourdomain adındaki bir TXT kaydıdır. E-posta sunucunuz her iletiyi özel yarıyla imzalar; alıcılar iletinin gerçekten alan adınızdan geldiğini ve yolda değiştirilmediğini kontrol etmek için genel anahtarı alır. RFC 6376'da tanımlıdır.

Burada DKIM anahtarı üretmek güvenli mi?

Evet. Anahtar çifti, tarayıcınızda, ağ erişimi olmayan izole bir çerçevenin içinde Web Crypto ile üretilir ve sayfadaki başka hiçbir betik onu okuyamaz. Hiçbir şey gönderilmez: tarayıcınızın geliştirici araçlarındaki ağ sekmesinin boş kaldığını izleyebilir ya da bağlantınızı kapatıp yeniden üretebilirsiniz.

Hangi anahtar boyutunu kullanmalıyım?

RSA 2048. RFC 8301 imzalayıcılardan en az 2048 bit ister, Gmail ve Yahoo onu önerir ve kaydı çoğu DNS barındırıcısına iki dize olarak sığar. 1024, alıcıların kabul ettiği en küçük boyuttur; yalnızca DNS barındırıcınız uzun değerleri kabul etmiyorsa kullanın. 4096 düz bir DNS yanıtına sığmayabilecek uzun bir kayıt üretir.

Google Workspace veya Microsoft 365 için DKIM anahtarı gerekir mi?

Hayır. Google Workspace anahtarı Admin console'da üretir ve size google._domainkey için bir TXT kaydı gösterir; Microsoft 365 ise selector1 ve selector2 adlı iki CNAME kaydının arkasındaki anahtarlarla imzalar. Herhangi bir oluşturucudan alınan bir anahtar hiç kullanılmaz. Tam olarak neyi yayımlayacağınızı görmek için araçta göndericinizi seçin.

DKIM seçicisi (selector) nedir?

Seçici, ._domainkey önündeki ad olup alıcılara hangi anahtarı alacaklarını söyler; örneğin s202610._domainkey.example.com içindeki s202610. Bir alan adının aynı anda her sunucu, hizmet veya tarih için birer tane olmak üzere birkaç anahtarı olmasını sağlar. Araç tarihli bir seçici önerir; böylece her yeni anahtar yeni bir ad alır ve döndürme kolaylaşır.

Özel anahtar hangi biçimde?

Varsayılan olarak PKCS#8 PEM (BEGIN PRIVATE KEY); OpenDKIM, rspamd ve Exim bunu okur. Bazı araçların belgelediği geleneksel biçim PKCS#1'e (BEGIN RSA PRIVATE KEY) ya da Amazon SES BYODKIM'in istediği, başlıksız ve satır sonsuz tek satır base64'e geçebilirsiniz. Onu yalnızca imzalayıcının okuyabileceği izinlerle kaydedin.

Bir alan adının birden fazla DKIM kaydı olabilir mi?

Evet, farklı seçiciler altında: e-postanızı imzalayan her hizmetin kendi kaydı olabilir ve bir döndürme sırasında kısa süre iki kaydınız olur. Ancak bir seçici adı yalnızca tek bir TXT kaydı tutmalıdır; aynı addaki iki kayıt sonucu belirsiz kılar ve doğrulayıcılar herhangi birini seçebilir.

DKIM kaydım neden 255 karakterden uzun?

2048 bitlik bir RSA genel anahtarı base64 olarak 392 karakterdir, bu yüzden kaydın tamamı yaklaşık 410'dur. Bir TXT dizesi en fazla 255 bayt tutar; bu yüzden DNS onu iki dize olarak saklar ve doğrulayıcılar bunları aralarında hiçbir şey olmadan birleştirir. Çoğu DNS barındırıcısı bunu sizin için böler; Route 53 ve Google Cloud DNS tırnaklı dizeleri ister.

DKIM kaydında t=y ne anlama gelir?

t=y anahtarı test aşamasında olarak işaretler: doğrulayıcılar onunla imzalanan e-postayı, imza başarısız olsa bile tam olarak imzasız e-posta gibi ele almalıdır. Kurulumunuzu kontrol ederken kullanın, sonra kaldırın; çünkü test aşamasındaki bir anahtar DMARC'a hiçbir şey vermez. t=s farklıdır: imzanın kimliğinin bir alt alan adını değil, tam olarak alan adınızı kullanmasını şart koşar.

DKIM anahtarlarını ne sıklıkla döndürmeliyim?

M3AAWG'nin önerdiği gibi en az altı ayda bir. Yeni anahtarı yeni bir seçici altında yayımlayın, imzalayıcınızı ona geçirin ve imzalı e-postalar hâlâ yoldayken eski kaydı 7 ila 30 gün tutun. Ardından eski seçiciyi silmek yerine boş bir p= ile yayımlayarak iptal edin.

Eksik bir şey mi var?Bir özellik ya da yeni bir araç önerin

İlgili araçlar