DKIM: signaturen under din e-post

Modul 4: Poster för e-post · Lästid: 8 minuter

Lärandemål: Efter den här lektionen kan du förklara hur DKIM fungerar, hitta och kontrollera en DKIM-post, och korrekt lägga till en DKIM-post från en extern tjänst (som TXT eller som CNAME).

Nyckelbegrepp: DKIM, digital signatur, privat nyckel och publik nyckel, selector, _domainkey, d= och s=, v=DKIM1; k=rsa; p=, DKIM via CNAME, nyckelrotation

Ett sigill på varje mail

SPF (lektion 4.3) kontrollerar vilken server en mail kommer ifrån. DKIM (DomainKeys Identified Mail, RFC 6376) fungerar annorlunda: det sätter en digital signatur på själva mailet.

Så här fungerar det:

1. Den sändande mailservern har en hemlig privat nyckel. Med den skapar den en signatur för varje mail, över de viktigaste delarna: avsändaren, ämnet, datumet och innehållet.
2. Den signaturen skickas med i en huvudrad i mailet: DKIM-Signature.
3. Den tillhörande publika nyckeln finns i domänens DNS, i en TXT-post.
4. Mottagaren hämtar den publika nyckeln och kontrollerar signaturen. Stämmer den, vet mottagaren två saker: mailet är verkligen signerat av någon som administrerar domänens DNS, och mailet har inte ändrats under vägen.

Det smarta: DKIM fortsätter fungera även om ett mail vidarebefordras, så länge innehållet inte ändras. Det har SPF svårt för.

Var finns nyckeln? Selectorn

En domän kan ha flera DKIM-nycklar: en från din egen mailserver, en från Microsoft 365, en från din nyhetsbrevstjänst. För att hålla isär dem har varje nyckel ett namn, selectorn.

I signaturen finns två viktiga fält:

DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=mail2026; ...

• d=example.com: domänen som signerar.
• s=mail2026: selectorn.

Mottagaren letar sedan upp nyckeln under detta namn:

<selector>._domainkey.<domän>
mail2026._domainkey.example.com

Delen _domainkey är fast. Posten ser till exempel ut så här:

mail2026._domainkey.example.com. 3600 IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC..."

En RSA-nyckel på 2048 bitar är det vanliga valet; 1024 bitar är minimum (RFC 8301). En sådan nyckel är längre än 255 tecken, så posten består av flera textdelar (lektion 4.2). De flesta paneler hanterar det automatiskt.

Din egen DKIM, och tjänsternas

Ditt hostingpaket eller din mailserver. På många servrar är DKIM aktiverat som standard och panelen lägger själv in posten i DNS. Du ser då en TXT-post med ett namn som x._domainkey eller default._domainkey.

Ligger din domäns DNS hos en annan part (till exempel Cloudflare eller din registrar), kan din mailserver inte sätta posten där själv. Då kopierar du namnet och det fullständiga värdet från ditt hostingpanel och skapar en TXT-post hos din DNS-leverantör med exakt det namnet och värdet. Det är något man ofta glömmer när man byter namnservrar: mailet hamnar då plötsligt oftare i skräpposten.

Externa tjänster. Microsoft 365, Google Workspace och nyhetsbrevstjänster signerar med sin egen nyckel. Du får från dem en eller flera poster:

• Som TXT, till exempel Google Workspace: namn google._domainkey, värde v=DKIM1; k=rsa; p= följt av den långa nyckeln.
• Som CNAME, till exempel Microsoft 365 (selector1._domainkey och selector2._domainkey) eller Mailchimp (k2._domainkey och k3._domainkey). En CNAME pekar till en nyckel som tjänsten själv administrerar. Fördel: tjänsten kan byta ut sin nyckel utan att du behöver göra något.

Alla dessa poster har en egen selector och stör därför inte varandra. Ta inte bort DKIM-posten för din egen mailserver när du lägger till en tjänst.

Varför två selectorer?

Tjänster som Microsoft 365 ber om två CNAME-poster, selector1 och selector2. De signerar med en nyckel i taget och växlar med jämna mellanrum till den andra (nyckelrotation). Sätter du bara selector1 fungerar det fram till första växlingen, och sedan slutar DKIM fungera helt plötsligt. Sätt därför alltid alla poster som tjänsten anger.

Vanliga misstag

• Dubbel domän. Du skriver k2._domainkey.example.com i ett panel som själv lägger till domänen efteråt. Resultat: k2._domainkey.example.com.example.com. Skriv bara k2._domainkey.
• TXT istället för CNAME (eller tvärtom). Använd exakt den typ som tjänsten anger.
• Ingen punkt i slutet av ett CNAME-mål. I paneler som kräver det: dkim2.mcsv.net. med punkt.
• Nyckeln avklippt. Vid kopiering saknas den sista delen av p=. Jämför början och slutet med originalet.
• DKIM aktiverat i tjänstens panel, men posterna inte skapade, eller tvärtom. Hos de flesta tjänster måste du först skapa posterna och sedan aktivera DKIM i deras administrationsvy.

Kontrollera om DKIM fungerar

Skicka ett mail till en adress hos en stor leverantör (till exempel Gmail) och visa originalet (Visa original eller Visa källa). Sök efter dkim=pass och se vilken domän som anges. Eller skicka ett mail till en testtjänst som mail-tester.com. Du kan också själv hämta posten med ett DNS-verktyg: fråga efter TXT-posten för <selector>._domainkey.<domän>.

I praktiken: så ser det ut i ett panel

I det här exemplet använder vi DirectAdmin. I DNS-administration finns en TXT-post med namnet x._domainkey; värdet börjar med v=DKIM1; k=rsa; p=. Under E-posthanterare, E-postkonton finns en knapp för att aktivera eller inaktivera DKIM. En CNAME från en tjänst skapar du via Lägg till post, typ CNAME, namn k2._domainkey, värde med en punkt i slutet.

I andra paneler finns DKIM ibland under "E-postautentisering" eller "E-postsäkerhet", men posten i DNS är densamma överallt.

Sammanfattning

• DKIM sätter en digital signatur på varje mail; den publika nyckeln finns i DNS.
• Nyckeln finns på <selector>._domainkey.<domän>. Selectorn anges i signaturen (s=), domänen också (d=).
• Varje tjänst har en egen selector; poster från olika tjänster finns sida vid sida.
• Tjänster använder ofta CNAME-poster och flera selectorer. Lägg till alla, med exakt den angivna typen.
• Ligger din DNS hos en annan part måste du själv lägga till din mailservers DKIM-nyckel där.

Quiz

Uppgift

Uppgift Z4.4: Leta upp DKIM. Öppna ett mail du fått från ett företag eller en organisation och visa originalet. Leta i huvudraden DKIM-Signature efter domänen (d=) och selectorn (s=). Fyll i båda. Kontrollen letar upp motsvarande nyckel.

Uppgift O4.4: Ställ in själv i din övningszon. I övningszonen använder du en låtsastjänst; hos din riktiga domän använder du den riktiga nyckeln eller CNAME:n från din mailserver eller tjänst. Du får i uppgiften en övningsnyckel (värdet efter p=). Den nyckeln är lång: klistra in den i sin helhet, utan att utelämna något. Skapa i din övningszon <code>.dnspractice.eu:

1. en TXT-post på cursus._domainkey med värdet v=DKIM1; k=rsa; p=<oefensleutel>;
2. en CNAME-post på k2._domainkey som pekar till dkim.newsletter-demo.dnspractice.eu. (med punkt i slutet om ditt panel kräver det).

Läs mer

Stegen i de här artiklarna gäller för panelerna hos WebOké; i andra paneler fungerar det på liknande sätt.

• DirectAdmin-guide 5.8: Aktivera och kontrollera DKIM
• Ställ in DKIM när DNS ligger på en extern server
• DirectAdmin-guide 5.4: CNAME-poster och punkten på slutet
• WebOké manual 6.7: Kortet Ställ in e-post (MX, SPF, DKIM, DMARC)
• RFC 6376 (DKIM), RFC 8301 (nyckellängd), RFC 8463 (Ed25519)