Що таке DKIM? Пояснення стандарту DomainKeys Identified Mail

Визначення

💡 DKIM (DomainKeys Identified Mail): метод автентифікації електронної пошти, який додає цифровий підпис до ваших вихідних повідомлень, підтверджуючи, що саме ви їх надіслали і що вони не були змінені під час пересилання. DKIM перевіряє, що лист справді був надісланий і авторизований власником цього домену. Уявіть це як захисну пломбу на посилці.

Чому DKIM важливий

Спамери та фішери обожнюють видавати себе за легітимні домени. Вони надсилають листи, які виглядають так, ніби надійшли від вашого банку, начальника або довіреного сервісу. DKIM зупиняє це.

DKIM закриває прогалину, яку не може заповнити SPF: хоча SPF перевіряє, що повідомлення надійшло з авторизованої IP-адреси, він нічого не повідомляє про те, чи не було змінено тіло повідомлення або заголовки. Хтось може перехопити ваш лист під час пересилання та змінити його вміст. DKIM виявляє це.

Поштові клієнти, як-от Spark, автоматично перевіряють підписи DKIM при отриманні пошти. Spark синхронізує ці налаштування з боку провайдера — якщо провайдер позначає лист як підозрілий через відсутність DKIM і переміщує його у Спам, Spark також відобразить це повідомлення у папці Спам. Пройдіть перевірку DKIM — і ваші листи виглядатимуть легітимно. Не пройдете — спам-фільтри швидко стануть підозрілими.

У більшості випадків підписи DKIM не видимі для кінцевих користувачів; перевірка здійснюється на рівні поштового сервера. Ви ніколи не бачите, як він працює, але він задіяний у кожному листі, який ви надсилаєте та отримуєте.

Як працює DKIM

DKIM використовує криптографію з відкритим ключем. Ви генеруєте два ключі: приватний ключ, який залишається на вашому поштовому сервері, і публічний ключ, який ви публікуєте у своїх DNS-записах.

Коли ви надсилаєте лист, ваш сервер підписує його приватним ключем. Сервер-отримувач може перевірити підпис, знайшовши публічний ключ відправника в DNS. Якщо підпис збігається, лист легітимний. Якщо не збігається або підпису немає — спрацьовують тривожні сигнали.

Підпис охоплює певні частини вашого листа: заголовки From, To, Subject та тіло повідомлення. Якщо змінюється хоча б один символ підписаного вмісту, підпис стає недійсним. Саме так працює виявлення підробки.

Селектори DKIM дозволяють використовувати кілька ключів для одного домену. Селектор — це спеціалізоване значення, яке видає постачальник послуг електронної пошти, що використовується доменом. Формат виглядає так: selector._domainkey.yourdomain.com. Різні сервіси відправлення можуть мати різні селектори, і ви можете ротувати ключі, нічого не зламавши.

Налаштування DKIM

Ваш постачальник послуг електронної пошти зазвичай бере на себе більшу частину роботи. Gmail, Outlook, Mailchimp та інші великі провайдери або вмикають DKIM автоматично, або проводять вас через налаштування в адмін-панелі.

Для Gmail (Google Workspace): потрібно зачекати від 24 до 72 годин після увімкнення Gmail, перш ніж ви зможете отримати свій DKIM-ключ в Admin console. Перейдіть до Apps > Google Workspace > Gmail > Authenticate email, згенеруйте DKIM-ключ, а потім додайте TXT-запис до вашого DNS.

Для власних поштових серверів: згенеруйте пару RSA-ключів 2048 біт, опублікуйте публічний ключ як TXT-запис за адресою selector._domainkey.yourdomain.com та налаштуйте поштовий сервер на підпис вихідних повідомлень приватним ключем.

Нові DNS-записи мають поширитися, що може тривати до 48 годин. Зазвичай це триває кілька годин. Скористайтеся інструментом перевірки DKIM, щоб переконатися, що він працює.

Поширені запитання про DKIM

Чи гарантує DKIM, що мої листи не потраплять у спам?

Ні. Додавання підпису DKIM не гарантує доставку, але значно підвищує шанси на позитивний результат. DKIM підтверджує автентичність, але спам-фільтри також перевіряють вміст, репутацію відправника, залученість та інші фактори.

Що станеться, якщо мій підпис DKIM не пройде перевірку?

Невдала перевірка підпису не змушує відхилити повідомлення. Більшість серверів-отримувачів додають заголовок автентифікації, що фіксує невдачу, та враховують це у своєму спам-рейтингу. Повторні невдачі шкодять репутації відправника.

Чи потрібен мені DKIM, якщо я вже маю SPF?

Так. SPF та DKIM захищають різні речі. SPF перевіряє IP-адресу сервера-відправника. DKIM перевіряє цілісність повідомлення та право власності на домен. Використовуйте обидва. Додайте зверху DMARC для повного захисту.

Як часто потрібно ротувати ключі DKIM?

Ключі DKIM не мають терміну дії, але їх варто періодично ротувати; ми радимо це робити кожні 12 місяців. Згенеруйте новий ключ з новим селектором, додайте його до DNS, переключіть поштовий сервер на його використання, а потім видаліть старий через кілька днів.

Чи можна використовувати один DKIM-ключ для кількох доменів?

Технічно так, але не варто. Кожен домен повинен мати власну пару DKIM-ключів. Спільне використання ключів між доменами послаблює безпеку та ускладнює ротацію ключів.

Яке гарне ім'я для DKIM-селектора? Підійде будь-що коротке та описове. Поширені варіанти: default, mail, s1, google або щось на кшталт marketing2025, якщо ви використовуєте кілька джерел відправлення. Ваш поштовий провайдер може призначити селектор автоматично.

Пов'язаний вміст

Пов'язані терміни

The Readdle Team

DKIM

Зміст