Aktywacja klucza DKIM

DKIM aktywują Państwo w trzech ruchach: w panelu 2Mail generują Państwo klucz, rekord pokazany w panelu dodają do DNS swojej domeny, a po udanej kontroli włączają podpisywanie. Nazwa tego rekordu składa się z selektora, członu _domainkey i Państwa domeny. Najczęstszy błąd: panel DNS sam dokleja domenę jeszcze raz na końcu i wtedy nikt nie znajdzie rekordu.

Co robi DKIM i czym jest selektor

DKIM umieszcza podpis cyfrowy na każdej wiadomości wysyłanej przez 2Mail. Serwer odbiorcy sprawdza ten podpis za pomocą klucza publicznego zapisanego w DNS Państwa domeny. Prywatna część klucza pozostaje na naszych serwerach; nigdzie nie trzeba jej wpisywać.

Selektor to etykieta, która mówi, którego klucza użyto. Znajduje się w podpisie każdej wiadomości, a odbiorca szuka klucza pod selektorem, po którym następuje ._domainkey i Państwa domena. Dzięki selektorom domena może mieć kilka kluczy jednocześnie: po jednym dla każdej usługi wysyłającej w Państwa imieniu, a przejściowo dwa, gdy wymieniają Państwo klucz. Inaczej niż przy SPF niczego się więc nie scala. Klucz poczty biurowej czy narzędzia do newsletterów zostaje na miejscu, a klucz 2Mail pojawia się obok.

Zawsze rekord TXT

Rekord DKIM dla 2Mail to zawsze rekord TXT. Zawiera sam klucz publiczny: długą wartość zaczynającą się od v=DKIM1. Panel 2Mail pokazuje nazwę i wartość, gotowe do skopiowania. U innych usług wysyłkowych spotyka się czasem rekord CNAME: nie zawiera on klucza, tylko wskazuje na rekord, którym zarządza sama usługa. Dla 2Mail nie tworzy się rekordu CNAME. Pod jedną nazwą nigdy nie może też istnieć jednocześnie CNAME i inny rekord.

Aktywacja klucza w siedmiu krokach

1. Proszę otworzyć domenę wysyłkową w panelu 2Mail i w sekcji uwierzytelniania wygenerować klucz DKIM. Panel pokaże nazwę rekordu (z selektorem jako prefiksem), typ i wartość.
2. Proszę przejść do zarządzania DNS u dostawcy, u którego znajdują się serwery nazw domeny. Nie musi to być firma, w której kupili Państwo domenę.
3. Utworzyć rekord typu TXT.
4. Jako nazwę wpisać tylko część przed domeną: selektor, kropkę i _domainkey. Niemal każdy panel sam dopisuje domenę.
5. Wkleić wartość dosłownie, bez dodawania spacji ani znaków nowej linii.
6. Zapisać, wrócić do panelu 2Mail i zlecić sprawdzenie rekordu. Gdy kontrola się powiedzie, należy włączyć podpisywanie.
7. Wysłać wiadomość testową na adres zewnętrzny i obejrzeć nagłówki: w wynikach uwierzytelniania powinno widnieć dkim=pass, razem z Państwa domeną.

Dlaczego długi klucz trzeba czasem podzielić

Jeden ciąg znaków w rekordzie TXT może mieć najwyżej 255 znaków. Klucz 2048-bitowy, czyli dziś standardowa długość, jest dłuższy. Taka wartość jest więc zapisywana jako kilka ciągów znaków w obrębie tego samego rekordu; odbiorca skleja je z powrotem. Większość paneli robi to niepostrzeżenie za Państwa. Jeśli panel odrzuca wartość jako zbyt długą, proszę samodzielnie przeciąć ją na dwie części, każdą ująć w podwójny cudzysłów i rozdzielić je jedną spacją, nadal w jednym rekordzie. Nigdy nie należy robić z tego dwóch osobnych rekordów; trzeba też uważać, żeby przy cięciu nie zgubić żadnego znaku.

Gdzie dodać rekord u poszczególnych dostawców DNS

Pułapka jest wszędzie ta sama: panel automatycznie dokleja domenę za nazwą. Jeśli wpiszą Państwo pełną nazwę razem z domeną, rekord wyląduje o poziom za głęboko. Proszę więc wpisywać tylko część przed domeną, chyba że panel wyraźnie prosi o pełną nazwę.

• Cloudflare — proszę wybrać domenę, otworzyć DNS i rekordy, a następnie dodać rekord, którego nazwą jest część przed domeną. Przełącznik proxy (pomarańczowa chmurka) nie istnieje dla rekordów TXT; nic nie trzeba z nim robić.
• Combell — w panelu sterowania przy domenie, w zarządzaniu DNS. Rekordy TXT mają tam osobną sekcję.
• one.com — w ustawieniach DNS, w rekordach DNS. Panel pokazuje domenę już za polem nazwy: wpisuje się tylko przednią część.
• TransIP — w części DNS domeny należy dodać wiersz, którego nazwą jest część przed domeną. Proszę nie zapomnieć o zapisaniu na dole.
• OVHcloud — na karcie ze strefą DNS należy dodać rekord typu TXT; w polu subdomeny wpisuje się przednią część nazwy.
• GoDaddy — w zarządzaniu DNS domeny należy dodać nowy rekord; w polu nazwy wpisuje się tylko część przed domeną.
• Microsoft 365 — jeśli DNS domeny jest prowadzony u samego Microsoftu, w centrum administracyjnym przy domenie dodaje się niestandardowy rekord DNS. Jeśli widać tam już rekordy selector1 i selector2 pod _domainkey, proszę ich nie ruszać: to klucze Microsoftu dla poczty wychodzącej przez Exchange Online. Rekord 2Mail ma własny selektor i pojawia się obok.

Kontrola

Punktem odniesienia jest kontrola w panelu. Jeśli chcą Państwo sami zobaczyć to, co widzi świat zewnętrzny, proszę wpisać domenę i selektor z panelu w bezpłatnym narzędziu do sprawdzania SPF, DKIM i DMARC. Nowy rekord jest zwykle widoczny w ciągu godziny; zmieniony rekord podąża za poprzednim TTL.

Gdy kontrola wciąż się nie udaje

1. Proszę sprawdzić, jak nazwa naprawdę wygląda w panelu DNS. Jeśli kończy się dwukrotnie Państwa domeną, domena została dopisana ręcznie. Nazwę trzeba poprawić tak, żeby została tylko przednia część.
2. Proszę sprawdzić, czy to właściwy panel. Jeśli serwery nazw wskazują na innego dostawcę, rekord znajduje się w miejscu, do którego nikt nie zagląda.
3. Proszę sprawdzić typ. To musi być rekord TXT, nie CNAME.
4. Proszę obejrzeć wartość. Bez spacji, bez znaków nowej linii, nieucięta w połowie, nierozdzielona na dwa rekordy i bez cudzysłowów drukarskich z e-maila lub dokumentu Worda.
5. Jeśli panel odrzuca znak podkreślenia w _domainkey, rozwiązać to może tylko Państwa dostawca DNS. Podkreślenie należy do nazwy i nie wolno go pominąć.
6. Proszę odczekać TTL przed kolejnym testem, a testować przez panel albo narzędzie do sprawdzania, nie z własnego urządzenia.

Jeśli kontrola się udaje, a odbiorca mimo to zgłasza dkim=fail, aplikacja pośrednicząca zmienia wiadomość po podpisaniu, na przykład narzędzie do stopek albo klauzula prawna dodawana po fakcie.

Kilka domen

DKIM konfiguruje się dla każdej domeny wysyłkowej osobno. Jeśli wysyłają Państwo z kilku domen, te kroki trzeba powtórzyć dla każdej z nich. Subdomena, na przykład osobna domena do newsletterów, ma własny rekord.

Późniejsza wymiana klucza

Jeśli chcą Państwo zrotować klucz, na przykład po zmianach kadrowych albo dlatego, że wymaga tego polityka bezpieczeństwa, proszę utworzyć w panelu nowy klucz z innym selektorem. Nowy rekord należy dodać do DNS, a nowy klucz aktywować, gdy tylko kontrola się powiedzie. Następnie proszę unieważnić stary klucz w panelu, a stary rekord usunąć dopiero kilka dni później. Dzięki temu wiadomości, które są jeszcze w drodze, pozostaną ważne.

Jeśli rekord SPF nie jest jeszcze poprawny, proszę zacząć od artykułu dodawanie rekordu SPF u dostawcy DNS. Następnie warto włączyć DMARC: rekord przygotują Państwo w generatorze rekordów DMARC. Tło wszystkich trzech rekordów znajdą Państwo na stronie SPF, DKIM i DMARC.

Najczęstsze pytania

Czy muszę gdzieś wpisać klucz prywatny?

Nie. Prywatna część pozostaje na serwerach 2Mail. Do DNS trafia wyłącznie część publiczna, a tę może zobaczyć każdy.

Czy klucz 2Mail może istnieć obok klucza Microsoft 365 lub Google Workspace?

Tak. Każda usługa podpisuje własnym selektorem, a każdy selektor ma własny rekord. Nie przeszkadzają sobie nawzajem; niczego nie trzeba scalać ani usuwać.

Czy DKIM wystarczy bez SPF?

Dla DMARC wystarcza, że jeden z dwóch mechanizmów przejdzie z Państwa własną domeną, ale lepiej na to nie liczyć. SPF zawodzi przy przekazywanej poczcie, a DKIM zawodzi, gdy wiadomość zostaje po drodze zmieniona. Gdy oba są w porządku, jeden asekuruje drugi.

Jak często trzeba wymieniać klucz?

Sztywnej reguły nie ma. Klucz warto wymienić, gdy wymaga tego Państwa polityka bezpieczeństwa albo gdy jest powód, by wątpić w obecny klucz. Dzięki nowemu selektorowi wymiana przebiega bez przerwy w wysyłce.

Coś nie działa?

Prosimy przesłać nam przez stronę kontaktową nazwę domeny i zrzut ekranu rekordu z panelu DNS. Sprawdzimy, co się nie zgadza.