DKIM (DomainKeys Identified Mail)

Hogyan működik egy aláírás?

Amikor a leveleződ vagy a hírlevélküldőd kiküld egy e-mailt, a levél fejlécébe beír egy DKIM-Signature sort. Ebben benne van, melyik domain nevében írt alá (d=), melyik kulcsot használta (s=, a szelektor), és maga az aláírás, amely a levél bizonyos fejléceiből és törzséből készül.

A fogadó szerver (például a Gmail) ekkor lekérdezi a szelektor._domainkey.tedomained.hu DNS-rekordot, kiolvassa belőle a nyilvános kulcsot, és ellenőrzi az aláírást. Ha egyezik, a levél „DKIM: pass” eredményt kap. Ha valaki útközben átírta a tárgyat vagy a tartalmat, az aláírás elbukik.

Egy DKIM-rekord jellemzően így néz ki (rövidítve):

Miért nem elég, hogy „megy a levél”?

A DKIM nélküli levél is kézbesíthető, csak egyre rosszabb eséllyel. A Gmail és a Yahoo 2024 februárja óta minden küldőtől elvárja az SPF vagy DKIM hitelesítést, a napi nagy tömegben küldőktől pedig mindkettőt, plusz DMARC-rekordot. Ennél is fontosabb, hogy a DKIM adja a domainhez kötött hírnév alapját: a postafiók-szolgáltatók a domain alapján tanulják meg, mennyire megbízható a küldő.

Egy tipikus magyar helyzet

Tegyük fel, egy webshop három helyről küld levelet a bolt.hu nevében: a Google Workspace-ből (ügyfélszolgálat), a webshopmotorból (rendelés-visszaigazolás) és egy hírlevélküldőből. Mindhármat külön kell beállítani:

1. Workspace: az adminfelületen generált kulcs, google._domainkey szelektorral.
2. Webshopmotor: a szolgáltató által adott CNAME- vagy TXT-rekord, saját szelektorral.
3. Hírlevélküldő: a „saját domain hitelesítése” menüpont, szintén külön szelektorral.

A szelektorok miatt több DKIM-kulcs is élhet egyszerre ugyanazon a domainen, egymás zavarása nélkül. Ha bármelyik kimarad, az onnan küldött levelek aláírás nélkül vagy a szolgáltató saját domainjével aláírva mennek ki.

Hogy ez miért számít pénzben: szemléltető számpéldaként, ha egy havi 20 000 címre menő hírlevél 3%-a a hitelesítés hiánya miatt a spam mappába kerül, és a kattintók 2%-a vásárol 12 000 Ft-os átlagos kosárral, a kiesés már 3–4 hírlevél után eléri egy egyszeri DNS-beállítás díját.

A beállítási hibák, amelyeket a legtöbbször látni

• Szolgáltatói aláírás, saját helyett. Sok hírlevélküldő alapból a saját domainjével ír alá (d=szolgaltato.com). Ez technikailag „DKIM pass”, de nem egyezik a feladó domainjével, ezért a DMARC szempontjából nem számít. A cél mindig az, hogy a d= a te domained legyen.
• Feldarabolt kulcs. A 2048 bites kulcs hosszabb, mint egy DNS-szövegrész 255 karakteres korlátja. Egyes DNS-kezelők ezt rosszul tördelik, és a kulcs érvénytelen lesz. Beállítás után mindig ellenőrizd egy DKIM-ellenőrző eszközzel.
• Elfelejtett régi szelektor. Szolgáltatóváltás után a régi kulcs a DNS-ben marad. Nem okoz hibát, de rendetlen, és ha a régi szolgáltatónál kompromittálódik a fiók, a nevedben aláírt levelek továbbra is hitelesnek látszanak.
• A 1024 bites kulcs. Működik, de ma már a 2048 bites az ajánlott, ha a DNS-szolgáltatód támogatja.

Hol a helye a többi rekord között?

A DKIM az aláírást adja, az SPF azt mondja meg, mely szerverek küldhetnek a domain nevében, a DMARC pedig összeköti a kettőt a feladó címével, és megmondja, mi történjen a nem egyező levelekkel. A három együtt a kézbesíthetőség technikai alapja, és erre épülhet később a BIMI, amely a logódat is megjelenítheti a postaládában.

Hogyan ellenőrizd 5 perc alatt?

Nem kell külön eszköz ahhoz, hogy lásd, működik-e. Küldj egy levelet az adott rendszerből egy Gmail-címre, nyisd meg, és a hárompontos menüben válaszd az „Eredeti üzenet megjelenítése” lehetőséget. A fejlécek tetején három sor jelenik meg: SPF, DKIM és DMARC, mindegyik mellett PASS vagy FAIL eredménnyel. A DKIM soránál az is látszik, melyik domain írta alá a levelet. Ha ott nem a saját domained szerepel, hanem a szolgáltatóé, a beállítás félkész.

Ezt a próbát minden küldő rendszerrel egyszer végig kell csinálni: a céges postafiókkal, a webshop rendszerleveleivel, a hírlevélküldővel és a számlázóval is.