DKIM (DomainKeys Identified Mail) je metoda overjanja e-pošte: strežnik pošiljatelja vsako odhodno sporočilo digitalno podpiše, strežnik prejemnika pa podpis preveri z javnim ključem, objavljenim v DNS domene. Če je podpis veljaven, je prejemnik lahko prepričan, da je sporočilo res prišlo v imenu domene, s strežnika, ki je za to pooblaščen, in ga med potjo nihče ni spremenil.

Kako deluje?

1. Na poštnem strežniku je skrivni (zasebni) ključ. Z njim strežnik pripravi podpis nekaterih delov glave in telesa sporočila in podpis kot glavo DKIM-Signature pripne sporočilu.
2. V DNS domene zapis TXT vsebuje pripadajoči javni ključ. Ime zapisa je sestavljeno iz tako imenovanega selektorja in oznake _domainkey, na primer default._domainkey.pelda.hu.
3. Strežnik prejemnika na podlagi selektorja, navedenega v sporočilu, poizve javni ključ in z njim preveri podpis.

Vrednost zapisa DKIM je na primer videti takole (ključ za p= je v resnici dolg več sto znakov):

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...

K domeni lahko spada več zapisov DKIM z različnimi selektorji: na primer eden za lastni poštni strežnik, drugi za storitev za pošiljanje novičnikov. Nekateri ponudniki ključa ne podajo kot zapis TXT, temveč kot zapis CNAME, ki kaže na njihov DNS.

DKIM na gostovanju aWh

V naših storitvah e-poštnega gostovanja in gostovanja cPanel se ključ DKIM ustvari samodejno, in če domena kaže na naše imenske strežnike, se v cono doda tudi zapis. V cPanelu postavka Dostavljivost e-pošte (Email Deliverability) pokaže, ali sta zapisa DKIM in SPF ustrezna; če DNS domene upravljaš drugje (na primer pri Cloudflaru), tu najdeš zapis, ki ga moraš dodati tam. Korake predstavlja članek o nastavitvi SPF, DKIM in DMARC v cPanelu.

Kako ga preveriš?

Pošlji sporočilo na naslov Gmail, ga odpri in v meniju izberi Pokaži izvirnik. Vrstica DKIM: 'PASS' v glavi pove, da je podpis v redu. V glavi sporočila najdeš selektor tudi v vrednosti s= vrstice DKIM-Signature.

Objavljeni zapis lahko preveriš z našim brezplačnim orodjem za preverjanje DKIM: poizve javni ključ domene, preveri sintakso zapisa in dolžino ključa (priporočen je 2048-bitni ključ) ter opozori, če se je ključ ob kopiranju okrnil. Če selektorja ne poznaš, orodje preizkusi pogoste. Iz ukazne vrstice zapis poizveš takole:

dig TXT default._domainkey.pelda.hu +short

Zakaj je pomemben?

Gmail in Yahoo od leta 2024 zahtevata, da so sporočila, ki jima jih pošiljaš, overjena s SPF ali DKIM, od pošiljateljev velikih količin pa oboje in še DMARC. Brez DKIM sporočila pogosteje pristanejo v mapi z neželeno pošto. DKIM skupaj z zapisom SPF in zapisom DMARC daje popolno zaščito; o razlikah med vsemi tremi piše blogovski zapis, ki primerja SPF, DKIM in DMARC.