بررسی DKIM: کلیدهایی که دامنه ایمیلش را با آن‌ها امضا می‌کند
DKIM به دامنه اجازه می‌دهد ایمیلش را با کلیدی منتشرشده در DNS امضا کند تا سرورهای گیرنده بتوانند بررسی کنند که پیام از آن دامنه آمده و تغییر نکرده است. هر کلید زیر نامی به اسم سلکتور قرار دارد. یک دامنه و اگر می‌دانید، سلکتور را بنویسید؛ بدون آن، 33 سلکتور رایج را امتحان می‌کنیم.
سلکتور مقدار «s=» در سرآیند «DKIM-Signature» ایمیلی است که آن دامنه فرستاده. برای امتحان سلکتورهای رایج، آن را خالی بگذارید.
سلکتور را چطور پیدا کنیم
- ایمیلی را که آن دامنه فرستاده باز کنید و نسخهٔ اصلی یا سرآیندهای آن را نمایش دهید. در Gmail: سه نقطه، سپس «نمایش پیام اصلی» (Show original).
- سرآیند «DKIM-Signature» را پیدا کنید: «d=» دامنه است و «s=» سلکتور، مثلاً s=selector1.
- دامنه و سلکتور را بنویسید و روی «بررسی DKIM» بزنید. بدون سلکتور، 33 سلکتور رایج مانند default، google، selector1 یا k1 را امتحان می‌کنیم.
معنای هر نتیجه
- دامنه ایمیلش را با DKIM امضا می‌کند
- کلید عمومی آن را پیدا کردیم: سرورهای گیرنده می‌توانند بررسی کنند که پیام‌هایش از این دامنه آمده‌اند و در مسیر تغییر نکرده‌اند.
- کلید DKIM وجود دارد، اما با هشدار
- دست‌کم یک کلید پیدا کردیم، اما برخی غیرفعال، در حالت آزمایشی یا بیش از حد ضعیف‌اند. جزئیات زیر هر کلید آمده است.
- در سلکتورهای رایج کلید DKIM نیست
- این ثابت نمی‌کند که دامنه DKIM ندارد: ممکن است از سلکتور دیگری استفاده کند. آن را در سرآیند «DKIM-Signature: s=» ایمیلی که برایتان فرستاده پیدا می‌کنید. آن را در «سلکتور» بنویسید و دوباره بررسی کنید.
- در آن سلکتور کلید DKIM نیست
- نحوهٔ نوشتن را بررسی کنید: سلکتور مقدار «s=» در سرآیند «DKIM-Signature» است و دامنه مقدار «d=» آن.
معنای هر نشانه
- کلید خالی است (p=): این سلکتور کنار گذاشته شده و دیگر ایمیلی امضا نمی‌کند.
- کلید در حالت آزمایشی است (t=y): دامنه از سرورهای گیرنده می‌خواهد اگر امضا تأیید نشد اقدامی نکنند.
- کلید RSA کوتاه‌تر از 1024 بیت است: می‌توان آن را شکست و بسیاری از سرورهای گیرنده آن را نمی‌پذیرند.
- کلید RSA با طول 1024 بیت: هنوز پذیرفته می‌شود، اما 2048 بیت توصیه می‌شود.
- کلید فقط SHA-1 را مجاز می‌داند، الگوریتمی قدیمی که دیگر امن به شمار نمی‌آید.
- رکورد کلید خطا دارد و قابل خواندن نیست.
- نوع کلید RSA یا Ed25519 نیست، پس سرورهای گیرنده نمی‌توانند از آن استفاده کنند.
- در هیچ‌یک از سلکتورهایی که امتحان کردیم کلیدی نیست.
ابزارهای مرتبط
چه کشورهایی را پوشش می‌دهد
با دامنه‌های هر کشوری کار می‌کند. بدون سلکتور، سلکتورهای پیش‌فرض سرویس‌دهندگان بزرگ (Google، Microsoft 365، Zoho، Proton، Fastmail، Mailchimp و دیگران) و نام‌های عمومی رایج را امتحان می‌کنیم، در مجموع 33 سلکتور. کلیدها همان‌طور خوانده می‌شوند که سرورهای گیرنده می‌خوانند (RFC 6376): RSA و Ed25519.
رکوردهای عمومی DNS دامنه را می‌خوانیم. اگر نشانی ایمیل یا لینک بنویسید، فقط دامنهٔ آن از مرورگر شما خارج می‌شود. دامنه‌ای که بررسی می‌کنید ذخیره نمی‌شود.
پرسش‌های متداول
DKIM چیست؟
DomainKeys Identified Mail: سرور فرستنده هر ایمیل را با یک کلید خصوصی امضا می‌کند و دامنه کلید عمومی را در DNS منتشر می‌کند. سرور گیرنده امضا را بررسی می‌کند: اگر مطابقت داشته باشد، ایمیل از آن دامنه آمده و در مسیر تغییر نکرده است.
سلکتور چیست؟
نامی که کلید زیر آن منتشر می‌شود، در selector._domainkey.example.com. یک دامنه می‌تواند چند سلکتور داشته باشد، یکی برای هر سرویس‌دهنده یا برای هر بار تعویض کلید. در سرآیند «DKIM-Signature» هر ایمیل به شکل «s=» دیده می‌شود.
چرا با اینکه دامنه از DKIM استفاده می‌کند کلیدی پیدا نمی‌شود؟
سلکتورها می‌توانند هر نامی داشته باشند و DNS اجازهٔ فهرست کردن آن‌ها را نمی‌دهد. ما 33 سلکتور رایج را امتحان می‌کنیم؛ اگر دامنه از سلکتور دیگری استفاده کند، آن را در «سلکتور» بنویسید. به همین دلیل «پیدا نشد» ثابت نمی‌کند که DKIM وجود ندارد.
1024 و 2048 بیت یعنی چه؟
اندازهٔ کلید RSA: هرچه بلندتر باشد، شکستن آن سخت‌تر است. 1024 بیت هنوز پذیرفته می‌شود، اما آنچه توصیه می‌شود 2048 است. کمتر از 1024، بسیاری از سرورهای گیرنده امضا را نادیده می‌گیرند.