Průvodce implementací DKIM: Časté nástrahy a jak se jim vyhnout

Protokol DKIM (Domain Keys Identified Mail) je důležitý protokol pro ověřování e-mailů, který ověřuje integritu zpráv a legitimitu odesílatele. DKIM je nezbytný pro BIMI (Brand Indicators for Message Identification), protože pouze správně ověřené e-maily mohou v doručené poště zobrazovat logo vaší značky. Nastavení DKIM je však náchylné k několika běžným úskalím, která mohou ohrozit zabezpečení i doručitelnost.

• Chybějící nebo nesprávný veřejný klíč v systému DNS: Pokud veřejný klíč DKIM není v DNS zveřejněn nebo je nesprávně naformátován, ověření selže. Vždy používejte generátor záznamů DKIM a ověřujte záznamy DNS, zda neobsahují syntaktické chyby.
• Slabá nebo zastaralá délka klíče: Používání klíčů kratších než 1024 bitů (např. 512 bitů) činí váš DKIM zranitelným vůči útokům. Používejte alespoň 1024bitové klíče - doporučuje se 2048bitové - a každých 6-12 měsíců je obměňujte.
• Problémy se zarovnáním: Doména v podpisu DKIM (hodnota d=) musí odpovídat doméně v adrese "Od". Nesprávné sladění vede k selhání ověřování a může porušit soulad s DMARC.
• Neshoda selektorů: Selektor v záznamu DNS musí odpovídat selektoru v hlavičce e-mailu. I jednoznaková neshoda může způsobit selhání.
• Nesprávné formátování: Záznamy DKIM musí být v systému DNS tvořeny jedním nepřerušovaným řetězcem. Zlomy řádků, neuzavřené středníky nebo chybějící pole (například v=DKIM1 nebo k=rsa) způsobí neplatnost záznamu.
• Zapomenutí povolit podepisování DKIM: Publikování záznamu DNS nestačí - ujistěte se, že je na poštovním serveru nebo u poskytovatele e-mailu povoleno podepisování DKIM.
• Ignorování subdomén a dodavatelů třetích stran: Pokud odesíláte poštu ze subdomén nebo používáte služby třetích stran, musí být každá z nich správně nakonfigurována, aby se zabránilo mezerám v ověřování.
• Nesledování nebo netestování: Pravidelně testujte nastavení DKIM a sledujte hlášení DMARC, abyste včas zachytili problémy. Po jakýchkoli změnách odešlete testovací e-maily a ověřte, zda DKIM vyhovuje.

• Používejte silné, pravidelně otáčené klíče: 1024-2048 bitů.
• Dvakrát zkontrolujte formátování DNS a zarovnání selektorů: Zajistěte správnou syntaxi a shodné selektory.
• Zarovnejte domény DKIM: Doména v podpisu DKIM by měla odpovídat vaší adrese "Od".
• Testujte po každé aktualizaci: Sledujte výsledky ověřování pomocí hlášení DMARC.
• Koordinujte s odesílateli třetích stran: Zajistěte, aby všichni dodavatelé správně implementovali DKIM.
• Odeberte staré nebo kompromitované klíče: A odstraňte je z DNS, abyste zabránili jejich zneužití.

• Kontrola zpoždění šíření DNS: Změny mohou trvat až 48 hodin.
• Zkontrolujte hlášení o selhání DMARC a DKIM: Zjistěte, co a proč selhává.
• Ověřte, zda se po podepsání nezměnil obsah zprávy: Ujistěte se, že přeposílací nebo bezpečnostní nástroje zprávu nemění.
• Nahlédněte do dokumentace poskytovatele e-mailových služeb: Při řešení problémů s ověřováním se řiďte pokyny pro konkrétní platformu.