Czym jest DKIM? DomainKeys Identified Mail wyjaśniony
DKIM (DomainKeys Identified Mail) dołącza kryptograficzny podpis do wychodzącej poczty, pozwalając odbierającemu serwerowi zweryfikować, że wiadomość naprawdę pochodzi z Twojej domeny i nie została zmieniona w drodze. Razem z SPF i DMARC tworzy standardowe trio uwierzytelniania e-mail.
Jak działa DKIM
Twój serwer pocztowy podpisuje każdą wychodzącą wiadomość kluczem prywatnym. Podpis jest dodawany jako nagłówek DKIM-Signature. Odbierający serwer sprawdza w DNS klucz publiczny Twojej domeny (opublikowany jako rekord TXT) i weryfikuje, czy podpis się zgadza.
- Twój serwer pocztowy generuje parę kluczy publiczny/prywatny
- Klucz publiczny jest publikowany jako rekord TXT pod selektorem, np. selector1._domainkey.twojadomena.com
- Każdy wychodzący e-mail jest podpisywany kluczem prywatnym, dodając nagłówek DKIM-Signature
- Odbierający serwer pobiera Twój klucz publiczny z DNS, używając selektora podanego w nagłówku
- Przelicza podpis i porównuje — zgodność oznacza, że e-mail jest autentyczny i niezmieniony
Rekord DNS DKIM
Rekord znajduje się pod nazwą hosta specyficzną dla selektora, nie w domenie głównej:
selector1._domainkey.yourdomain.com. TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGS..."
Tagi rekordu DKIM
| Tag | Znaczenie |
|---|---|
v | Wersja, zawsze DKIM1 |
k | Typ klucza, prawie zawsze rsa |
p | Klucz publiczny (zakodowany w base64) |
Czym jest „selektor"?
Selektor pozwala domenie publikować wiele kluczy DKIM jednocześnie — przydatne przy rotacji kluczy lub korzystaniu z kilku dostawców poczty. Każdy dostawca podaje, jakiego selektora użyć (typowe przykłady: google, selector1, k1, mandrill).
Konfiguracja DKIM
- Włącz podpisywanie DKIM u dostawcy poczty (Google Workspace, Microsoft 365, SendGrid itd.) — wygeneruje on parę kluczy za Ciebie
- Skopiuj rekord TXT i nazwę hosta selektora, które otrzymasz
- Dodaj rekord TXT do swojego DNS
- Poczekaj na propagację, a potem zweryfikuj u dostawcy lub narzędziem do sprawdzania DKIM
Dlaczego potrzebujesz SPF, DKIM i DMARC razem
Każdy pokrywa inną lukę:
- SPF autoryzuje, które serwery mogą wysyłać — ale łamie się przy przekazywaniu poczty
- DKIM dowodzi, że treść wiadomości nie została naruszona — przetrwa przekazywanie, ale sam w sobie nie mówi, kto jest upoważniony do wysyłki
- DMARC łączy oba i mówi odbiorcom, co zrobić, gdy oba zawiodą, a do tego daje wgląd dzięki raportom
Częste problemy
- Podpis łamie się po przekazaniu przez listy mailingowe — niektóre oprogramowanie list modyfikuje treść/temat, unieważniając podpis. To oczekiwane zachowanie i dokładnie dlatego dopasowanie DMARC zezwala, by przeszedł SPF LUB DKIM, nie oba naraz.
- Klucz zbyt długi na jeden ciąg TXT — klucze 2048-bitowe często trzeba rozbić na wiele cytowanych ciągów w tym samym rekordzie TXT; większość dostawców DNS robi to automatycznie.
- Zły selektor — jeśli selektor w Twoim DNS nie zgadza się z tym, którym podpisuje dostawca poczty, weryfikacja zawodzi po cichu.
Sprawdź swoją konfigurację DKIM
Użyj testu bezpieczeństwa e-mail, by zweryfikować SPF, DKIM i DMARC razem:
Zobacz teorię w praktyce — uruchom Bezpieczeństwo e-mail dla własnej domeny.