Pri DKIM fail nezačínajte automatickou výmenou kľúča. Najprv zistite, či správa obsahuje podpis, aké má hodnoty d= a s= a čo uviedol dôveryhodný prijímateľ. Chýbajúci podpis, chýbajúci verejný kľúč a neúspešné overenie sú odlišné situácie. Každá vyžaduje inú opravu a zmena nesprávneho selektora nemusí ovplyvniť problémový tok.
Vyberte originál z relevantnej cesty
Pracujte s pôvodnou prijatou správou, nie s textom preposlaným kolegom. Z DKIM-Signature si zapíšte doménu a selektor; podľa nich sa identifikuje verejný DNS kľúč. V niektorých systémoch môže byť viac podpisov, preto ich neprepisujte do jedného výsledku. Ak jedna služba podpisuje a iná nie, potrebujete dve samostatné kontroly aj pri spoločnej značke.
- Overte, že poskytovateľ odosielania podpisovanie pre tento účet zapol a že sa nastavenie vzťahuje na skutočne použitú doménu. Stav overené v administrácii ešte nemusí dokazovať každý starší tok.
- Porovnajte DNS názov odvodený zo selektora a domény s aktuálnym návodom poskytovateľa. Nepoužívajte kľúč iného účtu ani starý selektor zo snímky historického nastavenia.
- Ak sa kľúč nájde, ale podpis neprejde, preskúmajte, či obsah po podpise nemení ďalší systém. Pripravte originál a trasu pre správcu namiesto opakovaného mazania DNS.
Príklad podpisu zo starej služby
Hypotetický obchod zmení newsletterovú platformu a ponechá automatické pripomienky v pôvodnej službe. Technik odstráni jej DKIM záznam v domnienke, že všetko už migrovalo. Nové kampane fungujú, pripomienky zlyhávajú. Z hlavičiek sa dá zistiť, že používajú iný selektor. Správnym krokom je preveriť živé zdroje a podporovaný kľúč, nie meniť funkčný podpis novej platformy.
Pri rotácii kľúčov koordinujte zmenu s prevádzkovateľom odosielania. Staršie správy a prebiehajúce doručovanie môžu ešte súvisieť s predošlým podpisom. Konkrétny postup a lehotu ponechania starého záznamu určite podľa dokumentácie služby; tento článok neposkytuje univerzálne časové pravidlo. Pred odstránením majte potvrdené, ktorý zdroj používa ktorý selektor a ako sa vrátite k pôvodnej konfigurácii.
Záver nie je iba zelené DKIM
Platný podpis cudzej domény nemusí byť zosúladený s From pre DMARC. Po technickej oprave preto zapíšte aj výsledok súladu a pozorované umiestnenie. Samotný podpis nezaručuje bezpečný alebo žiadaný obsah. Ak príčina zlyhania zostáva nejasná, uveďte presné neoverené miesto a odovzdajte podklady správcovi. Nezverejňujte súkromný podpisovací kľúč ani tokeny účtu v žiadnom diagnostickom reporte.
Zdroje a overenie v praxi
RFC 6376: podpis DKIM a selektory
Websupport: správa autentifikácie pošty
Otestujte vlastnú správu cez dostupné kontrolné schránky. Ide o pozorovanie vzorky, nie o záruku pre zákazníkov. Rozsah a obmedzenia vysvetľuje metodika testovania. Pokrytie slovenských poskytovateľov si overte v aktuálnom rozhraní.