Dokumentacija

Nastavite DKIM

Nastavite DKIM

DKIM vsakemu sporočilu, ki ga pošlje vaš poštni sistem, doda podpis. Prejemni strežnik v vašem DNS-u poišče javni ključ in preveri, da je sporočilo res prišlo iz sistema z vašim zasebnim ključem in da se na poti ni spremenilo. Za razliko od SPF podpis preživi posredovanje, zato je DKIM tisti del overjanja e-pošte, na katerega se DMARC najbolj zanaša. Gmail in Yahoo ga pričakujeta od vsakega pošiljatelja in brez njega več vaše pošte pristane med vsiljeno.

Kako ga išče kontrolni seznam

Ključ DKIM je na <selektor>._domainkey.example.com, selektor pa je ime, ki ga izbere vaš ponudnik pošte. Vseh selektorjev domene ne more našteti nihče, zato kontrolni seznam strani preizkusi pogoste:

google, default, selector1, selector2, k1, s1, mail, dkim

Ponudnik Selektor
Google Workspace google (če ga niste spremenili)
Microsoft 365 selector1, selector2
cPanel, Plesk default
Mailchimp k1
DirectAdmin x
mnoge druge storitve svoje ime

Ko ključ najde, postavka pokaže selektor. Ko ga ne najde, namesto napake pokaže –, ker je vaš ključ morda preprosto pod imenom, ki ga ne preizkusimo (na primer DirectAdminov x). Če veste, da je DKIM nastavljen in ga spodnje preverjanje najde, je vse v redu.

Preverite sami

Uporabite selektor svojega ponudnika in namesto example.com vpišite svojo domeno:

dig +short TXT google._domainkey.example.com
dig +short TXT selector1._domainkey.example.com

Microsoft 365 objavi zapise CNAME, ki kažejo k Microsoftu, zato jim dig sledi in na koncu izpiše ključ.

Selektor že poslanega sporočila najdete tako, da ga odprete v Gmailu (⋮ → Show original) ali v izvorni kodi v drugem odjemalcu in poiščete glavo DKIM-Signature:. Oznaka d= je domena, s= selektor. Pod Authentication-Results mora pisati dkim=pass header.d=example.com.

Popravljeno pomeni odgovor TXT, ki vsebuje v=DKIM1 in dolgo vrednost p=.

Kako popraviti

DKIM ima dve polovici: poštni sistem mora podpisovati (nastavitev pri ponudniku pošte), javni ključ pa mora biti v DNS-u (zapis pri ponudniku DNS). Vklop podpisovanja brez zapisa ali obratno ne naredi ničesar. Izberite sistem, ki pošilja vašo pošto.

Google Workspace

  1. V Google Admin console odprite Apps → Google Workspace → Gmail → Authenticate email.
  2. Izberite domeno in kliknite Generate new record. Dolžino ključa pustite na 2048, predpono selektorja pa na google.
  3. Kopirajte prikazani zapis TXT (ime google._domainkey, vrednost se začne z v=DKIM1; k=rsa; p=) in ga dodajte pri ponudniku DNS (glejte njegov zavihek).
  4. Počakajte, da je zapis viden z dig (običajno v eni uri), se vrnite na isto stran in kliknite Start authentication. Stanje se spremeni v Authenticating email.

Na povsem novem računu Workspace se možnost lahko pojavi šele čez dan ali dva. Če ponudnik DNS dolge vrednosti ne sprejme, uporabite 1024 bitov ali preberite opombo o dolgih ključih spodaj.

Microsoft 365

  1. Odprite Microsoft Defender portal in pojdite na Email & collaboration → Policies & rules → Threat policies → Email authentication settings → DKIM.
  2. Kliknite domeno. Microsoft pokaže dva zapisa CNAME, ki ju potrebuje.
  3. Oba dodajte pri ponudniku DNS, z vrednostmi natanko takimi, kot so prikazane:
Tip Ime / Host Vrednost (primer, uporabite svojo) TTL
CNAME selector1._domainkey selector1-example-com._domainkey.contoso.onmicrosoft.com 3600
CNAME selector2._domainkey selector2-example-com._domainkey.contoso.onmicrosoft.com 3600

Novejši najemniki (tenanti) dobijo cilj v drugačni obliki; vedno kopirajte to, kar pokaže portal.

  1. Ko sta zapisa vidna, za domeno vklopite Sign messages for this domain with DKIM signatures. Microsoft med ključema menja sam, zato sta dva.

cPanel

  1. Odprite Email → Email Deliverability.
  2. Če DKIM ob domeni kaže težavo, kliknite Manage (ali Repair). cPanel ustvari 2048-bitni ključ pod selektorjem default in zapis doda v svojo cono DNS.

Če DNS domene gostuje drugje (Cloudflare, registrar), cPanel tudi po popravilu javlja, da zapis manjka. Predlagano vrednost TXT default._domainkey kopirajte z istega zaslona in jo dodajte pri ponudniku DNS.

To podpisuje samo pošto, ki odide prek strežnika cPanel (obrazci na strani, predali na gostovanju). Pošta, poslana prek Google Workspace ali Microsoft 365, potrebuje svoj DKIM tam.

Plesk

  1. Na ravni strežnika mora DKIM dovoliti skrbnik: Tools & Settings → Mail Server Settings, možnost Allow signing outgoing mail.
  2. Za domeno: Websites & Domains → example.com → Mail Settings (v novejših različicah Mail → Mail Settings), vklopite Use DKIM spam protection system to sign outgoing email messages in kliknite OK.

Plesk zapis default._domainkey doda v svoj DNS. Če domena uporablja zunanji DNS, ta zapis kopirajte iz Hosting & DNS → DNS v Plesku in ga dodajte pri ponudniku DNS.

DirectAdmin

DirectAdmin podpisuje s selektorjem x, zato kontrolni seznam zanj pokaže –, tudi ko DKIM deluje. Preverite z:

dig +short TXT x._domainkey.example.com

Če odgovora ni, DKIM za domeno ni vklopljen. Odvisno od nastavitev gostovanja je možnost DKIM v nastavitvah e-pošte domene ali v Account Manager → DNS Management; če je ne vidite, ponudnika prosite, naj DKIM za domeno vklopi. Če DNS gostuje drugje, zapis x._domainkey kopirajte iz DNS Management k ponudniku DNS.

Cloudflare

Cloudflare vaše pošte ne pošilja in je ne podpisuje. Če je vaš DNS pri Cloudflaru, tja dodate zapis, ki vam ga da ponudnik pošte:

  1. Odprite domeno in pojdite na DNS → Records → Add record.
  2. Za Google Workspace, cPanel ali Plesk: tip TXT, ime npr. google._domainkey, vsebina celotna vrednost, ki se začne z v=DKIM1.
  3. Za Microsoft 365: dva zapisa tipa CNAME (selector1._domainkey, selector2._domainkey) s Proxy status na DNS only (siv oblaček).
  4. Save.

Cloudflare sprejme dolge vrednosti in jih pravilno razdeli.

Ponudnik DNS

V cono DNS dodajte zapis, ki vam ga je dal ponudnik pošte:

Tip Ime / Host Vrednost TTL
TXT google._domainkey v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC… 3600

Ime vpišite brez domene (google._domainkey), razen če ponudnik zahteva polno ime; sicer dobite google._domainkey.example.com.example.com.

Dolgi ključi

2048-bitni ključ ima približno 400 znakov, en niz v zapisu TXT pa ima lahko največ 255. Dobri urejevalniki ga razdelijo sami. Če vaš vrednost odreže ali javi napako, jo vpišite kot več nizov v narekovajih, enega za drugim, brez ničesar vmes:

"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..." "...rest of the key...IDAQAB"

Prejemniki nize znova združijo. Odrezan ključ odpove tiho: dig pokaže zapis, a vsak podpis ne uspe.

Potrdite popravek

Znova poženite ukaz dig iz razdelka Preverite sami in si pošljite testno sporočilo na naslov Gmail: Show original mora pokazati DKIM: 'PASS' with domain example.com. Nato v PulseKeeperju odprite tarčo in na zavihku Kontrolni seznam kliknite Preveri zdaj. Če vaš ponudnik uporablja enega od pogostih selektorjev, se postavka v nekaj minutah obarva OK; sicer ostane –, in to je v redu.