Sprievodca implementáciou DKIM: Časté nástrahy a ako sa im vyhnúť

Doménové kľúče identifikovanej pošty (DKIM) sú dôležitým protokolom overovania e-mailov, ktorý overuje integritu správ a legitimitu odosielateľa. DKIM je nevyhnutný pre BIMI (Brand Indicators for Message Identification), pretože len správne overené e-maily môžu v doručenej pošte zobrazovať logo vašej značky. Nastavenie DKIM je však náchylné na niekoľko bežných nástrah, ktoré môžu narušiť bezpečnosť aj doručiteľnosť.

• Chýbajúci alebo nesprávny verejný kľúč v systéme DNS: Ak verejný kľúč DKIM nie je zverejnený alebo je nesprávne naformátovaný v DNS, overenie zlyhá. Vždy používajte generátor záznamov DKIM a overujte záznamy DNS, či neobsahujú syntaktické chyby.
• Slabá alebo neaktuálna dĺžka kľúča: Používanie kľúčov kratších ako 1024 bitov (napr. 512 bitov) robí váš DKIM zraniteľným voči útokom. Používajte aspoň 1024-bitové kľúče - odporúča sa 2048-bitové - a každých 6 až 12 mesiacov ich obmieňajte.
• Problémy so zarovnaním: Doména v podpise DKIM (hodnota d=) sa musí zhodovať s doménou v adrese "Od". Nesprávne zosúladenie vedie k zlyhaniu overovania a môže narušiť súlad s DMARC.
• Nesúlad selektora: Selektor v zázname DNS sa musí zhodovať so selektorom v hlavičke e-mailu. Aj jednoznaková nezhoda môže spôsobiť zlyhanie.
• Nesprávne formátovanie: Záznamy DKIM musia byť v systéme DNS tvorené jediným neprerušovaným reťazcom. Zlomy riadkov, neuzavreté stredníky alebo chýbajúce polia (napríklad v=DKIM1 alebo k=rsa) spôsobia neplatnosť záznamu.
• Zabudnutie na zapnutie podpisovania DKIM: Uistite sa, že podpisovanie DKIM je povolené na vašom poštovom serveri alebo u vášho poskytovateľa e-mailových služieb.
• Ignorovanie subdomén a dodávateľov tretích strán: Ak odosielate poštu zo subdomén alebo používate služby tretích strán, každá z nich musí mať správne nakonfigurovaný DKIM, aby sa zabránilo medzerám v overovaní.
• Nesledovanie alebo netestovanie: Pravidelne testujte nastavenie DKIM a monitorujte hlásenia DMARC, aby ste včas zachytili problémy. Po akýchkoľvek zmenách odošlite testovacie e-maily a overte, či DKIM prechádza.

• Používajte silné, pravidelne otáčané kľúče: 1024-2048 bitov.
• Dvakrát skontrolujte formátovanie DNS a zarovnanie selektora: Dbajte na správnu syntax a zhodné selektory.
• Zarovnajte domény DKIM: Doména v podpise DKIM by sa mala zhodovať s vašou adresou "Od".
• Testujte po každej aktualizácii: Monitorujte výsledky overovania pomocou správ DMARC.
• Koordinácia s odosielateľmi tretích strán: Zabezpečte, aby všetci dodávatelia správne implementovali DKIM.
• Zrušte staré alebo kompromitované kľúče: A odstráňte ich z DNS, aby ste zabránili ich zneužitiu.

• Kontrola oneskorenia šírenia DNS: Zmeny môžu trvať až 48 hodín.
• Skontrolujte hlásenia o zlyhaní DMARC a DKIM: Vyhľadajte informácie o tom, čo zlyháva a prečo.
• Overte, či sa po podpísaní nezmenil obsah správy: Uistite sa, že preposielacie alebo bezpečnostné nástroje nemenia správu.
• Pozrite si dokumentáciu poskytovateľa e-mailových služieb: Pri riešení problémov s overovaním postupujte podľa pokynov špecifických pre danú platformu.