alignment DKIM

Alignment DKIM to wymóg zgodności domeny podpisu kryptograficznego wiadomości z domeną widoczną w nagłówku nadawcy, weryfikowany przez DMARC.

Alignment DKIM – czym jest zgodność domen w podpisie wiadomości

Alignment DKIM oznacza zgodność domeny użytej w podpisie kryptograficznym wiadomości z domeną przedstawioną odbiorcy jako nadawca. W praktyce sprawdzane są przede wszystkim dwa elementy: adres widoczny w nagłówku „From” oraz domena wskazana w nagłówku „DKIM-Signature” za pomocą parametru „d”. Podpis DKIM potwierdza, że wybrane fragmenty wiadomości nie zostały zmienione po wysłaniu i że podpis można zweryfikować przy użyciu klucza publicznego opublikowanego w DNS. Sam poprawny podpis nie zawsze oznacza jednak zgodność domen.

Przykładowo wiadomość może mieć w polu „From” adres w domenie nadawca.pl, a podpis DKIM może zostać wystawiony przez domenę dostawca-poczty.example. Techniczna weryfikacja podpisu może wtedy zakończyć się powodzeniem, lecz domeny nie będą ze sobą zgodne. Właśnie tę relację określa się jako alignment DKIM. Mechanizm ma znaczenie podczas oceny polityki DMARC, ponieważ DMARC zestawia domenę widoczną dla odbiorcy z domeną uwierzytelnioną przez SPF lub DKIM.

Alignment DKIM w kontekście DMARC i porównania trybów

DMARC nie tworzy podpisu i nie zastępuje DKIM. Odpowiada za połączenie informacji z kilku mechanizmów uwierzytelniania oraz za określenie, co ma się stać z wiadomością, która nie przejdzie kontroli. Dla DKIM sprawdzane są dwa wyniki: czy podpis jest kryptograficznie prawidłowy oraz czy domena z parametru „d” pozostaje w wymaganej relacji z domeną z nagłówka „From”. Dopiero pozytywny wynik obu kontroli może być użyty jako uwierzytelnienie zgodne z DMARC.

W trybie relaxed alignment dopuszcza się zgodność organizacyjną domen. Oznacza to, że domena podpisująca może być subdomeną domeny widocznej w „From”, o ile obie należą do tej samej domeny organizacyjnej ustalanej według publicznych zasad podziału domen. Przykładowo podpis wystawiony dla mail.nadawca.pl może być traktowany jako zgodny z adresem w nadawca.pl. W trybie strict alignment wymagana jest dokładna zgodność nazw domen, bez dodatkowej subdomeny po jednej ze stron. Taki wariant zwiększa precyzję kontroli, ale wymaga staranniejszej konfiguracji wszystkich systemów wysyłających pocztę.

Warto odróżnić alignment DKIM od zgodności adresu koperty SMTP. SPF sprawdza domenę z mechanizmu „MAIL FROM”, natomiast DKIM odnosi się do domeny zapisanej w podpisie. Oba mechanizmy mogą mieć inne domeny niż ta widoczna w polu „From”. DMARC uznaje wiadomość za zgodną, gdy przynajmniej jeden z nich przejdzie własną kontrolę uwierzytelnienia oraz alignment. Z tego powodu prawidłowe działanie DKIM może uratować dostarczenie wiadomości nawet wtedy, gdy konfiguracja SPF nie odpowiada domenie prezentowanej odbiorcy.

Alignment DKIM a typowe problemy z pocztą

Najczęstszym problemem jest podpisywanie wiadomości domeną operatora pocztowego przy jednoczesnym prezentowaniu własnej domeny w „From”. Sytuacja pojawia się przy korzystaniu z formularzy kontaktowych, platform mailingowych, systemów newsletterowych, narzędzi do automatycznych powiadomień oraz usług obsługujących wysyłkę z wielu domen. Podpis może być formalnie poprawny, lecz jego domena nie będzie wyrównana z adresem nadawcy.

Innym źródłem trudności jest brak rekordu klucza publicznego w DNS albo opublikowanie go pod niewłaściwym selektorem. Selektor to nazwa pozwalająca przechowywać kilka kluczy DKIM jednocześnie. Jeżeli system wysyłający używa selektora „mail2026”, a w DNS opublikowano rekord dla „default”, odbiorca może nie znaleźć właściwego klucza. W rezultacie podpis zostanie uznany za nieprawidłowy, nawet jeśli sama domena w parametrze „d” jest odpowiednia.

Problemy mogą również powodować przekazywanie wiadomości, modyfikacja treści przez pośredni system oraz niepełna konfiguracja podpisywania. DKIM obejmuje wybrane nagłówki i część treści, dlatego każda zmiana objętego podpisem elementu może doprowadzić do niezgodności skrótu. Szczególnej uwagi wymagają automatyczne dopiski, przepisywanie tematów, zmiany kodowania oraz systemy, które ponownie tworzą nagłówki wiadomości.

Nie należy utożsamiać braku alignment DKIM z całkowitym dowodem fałszerstwa. Wiadomość mogła zostać wysłana przez legalny system zewnętrzny, który nie został prawidłowo skonfigurowany dla używanej domeny. Z drugiej strony poprawny alignment nie gwarantuje, że treść jest oczekiwana lub bezpieczna. Jest to kontrola tożsamości domenowej i integralności określonych elementów, a nie pełna ocena intencji nadawcy.

Alignment DKIM – praktyczne wskazówki konfiguracyjne

Prace warto rozpocząć od spisania wszystkich legalnych źródeł wysyłki. Należy uwzględnić pocztę użytkowników, formularze na stronie, systemy transakcyjne, newslettery, automatyczne alerty i usługi zewnętrzne. Dla każdego źródła powinno zostać ustalone, jaka domena pojawia się w polu „From”, jaka domena jest wpisywana w parametrze „d” oraz kto zarządza rekordem DNS z kluczem publicznym.

Własna domena powinna być używana do podpisywania wiadomości wszędzie tam, gdzie dostawca na to pozwala. W konfiguracji usługi warto szukać ustawień określanych jako custom DKIM domain, branded sending domain albo domain authentication. Po aktywacji należy sprawdzić, czy rekordy DNS zostały opublikowane dokładnie w nazwie wskazanej przez usługę. Literówka w selektorze, niewłaściwy typ rekordu lub dodatkowe cudzysłowy mogą uniemożliwić weryfikację.

Tryb relaxed jest zazwyczaj łatwiejszy do utrzymania, zwłaszcza gdy różne systemy korzystają z subdomen. Tryb strict może być uzasadniony w środowisku, w którym każda usługa ma podpisywać wiadomości dokładnie tą samą domeną, która jest widoczna dla odbiorcy. Przed zaostrzeniem polityki należy zebrać raporty DMARC i sprawdzić, czy wszystkie legalne źródła przechodzą zarówno kontrolę podpisu, jak i zgodność domen.

Do diagnostyki przydatne są pełne nagłówki wiadomości. Warto odczytać pola „Authentication-Results”, „DKIM-Signature”, „From”, „Return-Path” oraz informacje o serwerze, który dokonał weryfikacji. Należy porównać wartość „header.from” z „header.d” i zweryfikować, czy podpis otrzymał wynik „pass”. Testy powinny być wykonywane z kilku źródeł, ponieważ jeden poprawnie działający formularz nie potwierdza konfiguracji pozostałych usług.

Kiedy sprawdzić alignment DKIM w serwisie komputerowym

Weryfikacja alignment DKIM jest wskazana, gdy wiadomości trafiają do spamu, są odrzucane przez odbiorców albo otrzymują komunikaty o niespełnieniu wymagań DMARC. Warto ją przeprowadzić również po zmianie dostawcy poczty, uruchomieniu nowego newslettera, przeniesieniu DNS, zmianie systemu formularzy lub dodaniu kolejnej usługi wysyłającej. Szczególnie istotne jest sprawdzenie konfiguracji wtedy, gdy wiadomości od użytkowników dochodzą poprawnie, ale automatyczne powiadomienia z tej samej domeny są blokowane.

Przy analizie problemu pomocne jest przygotowanie przykładowej wiadomości wraz z pełnymi nagłówkami, opisem źródła wysyłki oraz informacją, jaki adres widnieje w polu nadawcy. Pozwala to rozdzielić błąd DNS, nieprawidłowy selektor, brak podpisywania i brak zgodności domen. W razie potrzeby diagnozę konfiguracji poczty można zlecić w firmie Warszawskie Pogotowie Komputerowe 24/7, przedstawiając wcześniej komunikaty zwrotne i nagłówki problematycznych wiadomości.

Nie powinno się zmieniać polityki DMARC na bardziej restrykcyjną wyłącznie na podstawie pojedynczego odrzucenia. Najpierw należy potwierdzić, które źródła wysyłki są legalne, naprawić podpisy DKIM, sprawdzić alignment i obserwować raporty. Dopiero wtedy można ocenić, czy polityka powinna jedynie monitorować niezgodności, kierować je do spamu, czy odrzucać wiadomości niespełniające wymagań. Taka kolejność ogranicza ryzyko zablokowania prawidłowej korespondencji oraz ułatwia ustalenie przyczyny problemu.