DKIM fail ไม่ควรเริ่มด้วยลบหรือออกกุญแจใหม่ทันที ต้องทราบว่าข้อความมีลายเซ็นหรือไม่ ใช้โดเมน d= และ selector s= อะไร แล้วผู้รับแจ้งผลอย่างไร ไม่มีลายเซ็น หา DNS key ไม่พบ และเนื้อหาตรวจไม่ผ่านเป็นคนละปัญหา การเปลี่ยน selector ผิดตัวอาจไม่แตะฉบับที่มีปัญหาเลย
ใช้ข้อความต้นฉบับจากทางที่ผิด
เปิดต้นฉบับที่ผู้รับได้รับก่อนส่งต่อ และเก็บทุกลายเซ็นที่เกี่ยวข้อง ระบบหนึ่งอาจเซ็นถูกแต่ระบบอีกทางยังไม่เปิดใช้ อย่ารวมผลหลายลายเซ็นให้เหลือเพียงตัวแรก DNS ชื่อที่ต้องตรวจขึ้นกับทั้งโดเมนและ selector ไม่ใช่ชื่อร้านอย่างเดียว
- ยืนยันว่าผู้ให้บริการเปิดเซ็นให้บัญชีและโดเมนที่ส่งจริง หน้าจัดการว่ายืนยันแล้วไม่พิสูจน์งานเก่าทุกงาน
- เทียบชื่อ DNS และค่ากับคำแนะนำบัญชีปัจจุบัน ไม่ใช้กุญแจของอีกบัญชีหรือภาพเก่าที่ไม่ทราบที่มา
- ถ้ามี key แต่ตรวจไม่ผ่าน ให้ผู้ดูแลเทียบต้นฉบับและทางผ่านว่ามีการเปลี่ยนส่วนที่เซ็นหลังส่งหรือไม่ แทนการลบ DNS ซ้ำ
ตัวอย่างสมมติของระบบเตือนเก่า
ร้านย้ายข่าวสารไปบริการใหม่แต่ข้อความเตือนยังออกจากระบบเดิม ผู้ดูแลลบ key เดิมเพราะคิดว่าย้ายหมดแล้ว ผลของข่าวผ่านแต่ข้อความเตือนไม่ผ่าน ต้องตรวจแหล่งที่ยังมีชีวิตและ selector ที่ใช้ ตัวอย่างนี้ไม่ใช่ข้อสรุปว่า key เก่าทุกตัวต้องคงไว้ตลอด
การหมุนกุญแจต้องประสานผู้ส่งและมีขั้นตอนกลับ ไม่กำหนดระยะเก็บ key เดิมแบบเหมารวมจากบทความเดียว ให้ใช้เอกสารบริการและการส่งที่ยังค้างอยู่เป็นข้อมูล ห้ามใส่ private key หรือ token บัญชีในรายงานสาธารณะ เพราะการวิเคราะห์ใช้ข้อมูลสาธารณะที่เกี่ยวข้องและต้นฉบับอย่างเหมาะสมได้
ผ่าน DKIM ยังมีคำถามต่อ
ลายเซ็นของโดเมนแพลตฟอร์มอาจผ่านแต่ไม่ alignment กับ From สำหรับ DMARC จึงต้องบันทึกสองผลแยกกัน และการผ่านไม่รับรองเนื้อหาหรือ Inbox หากสาเหตุยังไม่ชัดให้ระบุจุดที่ไม่ทราบและผู้ดูแลที่มีข้อมูล ไม่เพิ่มการเปลี่ยนที่ไม่เกี่ยวจนสูญเสียความสามารถในการเปรียบเทียบ
แหล่งข้อมูลและการตรวจสอบ
ทดสอบอีเมลของคุณ กับกล่องทดสอบที่มีให้ ผลเป็นเพียงตัวอย่างที่สังเกต ไม่รับประกันกล่องของลูกค้าทั้งหมด อ่านขอบเขตใน วิธีทดสอบ และตรวจรายชื่อบริการที่รองรับในหน้าทดสอบปัจจุบัน