brak DKIM

Brak DKIM to usterka konfiguracji domenowej pozbawiająca wiadomości kryptograficznego podpisu potwierdzającego ich autentyczność.

Brak DKIM – czym jest problem z podpisem wiadomości

Brak DKIM oznacza, że wiadomość wysyłana z danej domeny nie otrzymuje podpisu kryptograficznego tworzonego na podstawie klucza prywatnego. Odbiorca nie może wtedy przeprowadzić pełnej kontroli, czy treść poczty rzeczywiście pochodzi z deklarowanej domeny oraz czy nie została zmieniona po wysłaniu. Sam fakt braku podpisu nie przesądza jeszcze o tym, że wiadomość jest oszustwem. Zmniejsza jednak poziom zaufania, ponieważ jeden z mechanizmów weryfikujących pochodzenie poczty pozostaje nieaktywny albo nie został prawidłowo połączony z konfiguracją domeny.

DKIM działa w dwóch częściach. System wysyłający dodaje do nagłówków wiadomości podpis obliczony przy użyciu klucza prywatnego. W publicznej strefie DNS domeny publikuje się odpowiadający mu klucz publiczny. Po dostarczeniu wiadomości system odbiorczy odczytuje nazwę selektora z nagłówka DKIM, pobiera właściwy wpis DNS i sprawdza podpis. Gdy podpisu nie ma, nie ma również czego zweryfikować. W raporcie kontroli może pojawić się wynik „none”, „missing” albo informacja wskazująca na brak nagłówka DKIM.

Brak DKIM w kontekście SPF, DMARC i reputacji domeny

DKIM jest jednym z kilku mechanizmów służących do oceny wiarygodności poczty. SPF sprawdza, czy wiadomość została wysłana z dozwolonego źródła określonego w DNS, natomiast DKIM potwierdza spójność wybranych elementów wiadomości za pomocą podpisu. DMARC wykorzystuje wyniki SPF i DKIM, a także porównuje domenę widoczną dla odbiorcy z domeną używaną w odpowiednich mechanizmach uwierzytelniania. Dlatego brak DKIM może mieć większe znaczenie wtedy, gdy domena korzysta z restrykcyjnej polityki DMARC albo gdy wysyłka odbywa się z kilku niezależnych narzędzi.

W praktyce poprawny SPF nie zastępuje DKIM. SPF może przestać działać po przekazaniu wiadomości przez pośredni system, ponieważ kontrolowany jest adres źródłowy połączenia. Podpis DKIM może natomiast zachować wartość podczas dalszego przekazywania, o ile wiadomość nie zostanie zmieniona w sposób naruszający podpis. Z tego powodu oba mechanizmy uzupełniają się. Brak jednego z nich nie zawsze powoduje odrzucenie poczty, lecz może zwiększać prawdopodobieństwo umieszczenia jej w spamie, oznaczenia ostrzeżeniem albo opóźnienia dostarczenia.

Warto odróżnić brak DKIM od wyniku „fail”. Przy braku podpisu wiadomość nie zawiera elementu, który można sprawdzić. Przy wyniku „fail” podpis istnieje, lecz weryfikacja zakończyła się niepowodzeniem. Przyczyną może być niezgodny klucz publiczny, zmiana treści lub nagłówków, błędny selektor, wygasła konfiguracja albo nieprawidłowy format wpisu DNS. Rozróżnienie tych sytuacji ułatwia dobranie właściwego działania i ogranicza przypadkowe modyfikowanie innych ustawień domeny.

Brak DKIM – typowe przyczyny i objawy

Jedną z częstych przyczyn jest niepełna konfiguracja narzędzia wysyłającego pocztę. Włączenie domeny w panelu usługi nie zawsze oznacza zakończenie konfiguracji, ponieważ może być konieczne dodanie do DNS rekordu TXT zawierającego klucz publiczny. Jeżeli rekord nie istnieje, ma literówkę w nazwie selektora albo został zapisany w niewłaściwej strefie, podpis nie zostanie poprawnie odnaleziony.

Problem może powstać również po zmianie dostawcy poczty, migracji domeny, wymianie oprogramowania do wysyłki formularzy lub uruchomieniu dodatkowego systemu do newsletterów. Każde narzędzie może używać własnego selektora i własnego klucza. Gdy kilka usług wysyła wiadomości z tej samej domeny, należy sprawdzić wszystkie aktywne źródła. Usunięcie jednego wpisu bez sprawdzenia zależności może naprawić jedną ścieżkę wysyłki, ale jednocześnie przerwać działanie innej.

Objawami bywają wiadomości trafiające do spamu, komunikaty o niepełnym uwierzytelnieniu, obniżona skuteczność korespondencji automatycznej oraz różne wyniki testów dla różnych odbiorców. Nie zawsze pojawia się natychmiastowy komunikat zwrotny. Czasami problem jest widoczny dopiero w nagłówkach odebranej wiadomości lub w raporcie DMARC. Należy też uwzględnić opóźnienia propagacji DNS, pamięć podręczną oraz fakt, że wynik może zależeć od konkretnego źródła wysyłki.

Na wynik mogą wpływać zmiany dokonywane po podpisaniu wiadomości. Niektóre bramy pocztowe modyfikują temat, stopkę, kodowanie lub wybrane nagłówki. W takim przypadku nie musi wystąpić brak podpisu, lecz jego nieważność. Analiza powinna zatem obejmować pełne nagłówki, nazwę selektora, domenę podpisującą, rezultat weryfikacji oraz trasę wiadomości.

Brak DKIM – praktyczne wskazówki diagnostyczne

Najpierw należy ustalić, z którego narzędzia wysłano konkretną wiadomość. Warto pobrać jej pełne nagłówki i sprawdzić, czy występuje nagłówek DKIM-Signature. Jeżeli go nie ma, trzeba zweryfikować ustawienia podpisywania w używanej usłudze. Jeżeli nagłówek istnieje, należy porównać selektor i domenę z rekordem TXT dostępnym publicznie w DNS.

• Sprawdzić dokładną nazwę domeny używaną w adresie nadawcy oraz w podpisie.
• Odczytać selektor wskazany w nagłówku DKIM i wyszukać rekord pod właściwą nazwą.
• Porównać klucz publiczny w DNS z kluczem oczekiwanym przez usługę wysyłającą.
• Zweryfikować, czy rekord TXT nie został rozdzielony, skrócony lub obudowany dodatkowymi znakami.
• Wykonać test z wiadomością wysłaną z każdego używanego źródła, ponieważ różne narzędzia mogą mieć osobne ustawienia.
• Po zmianie DNS odczekać na odświeżenie informacji i ponownie sprawdzić pełne nagłówki.

Nie powinno się kopiować przypadkowego rekordu DKIM z innej domeny ani zmieniać kilku mechanizmów uwierzytelniania jednocześnie bez zapisania stanu początkowego. Bezpieczniej jest zachować kopię obecnych wpisów, ustalić właściciela konfiguracji i wprowadzać jedną zmianę naraz. Przy wielu usługach pomocne bywa prowadzenie listy selektorów wraz z informacją, które narzędzie wykorzystuje każdy z nich. Ułatwia to późniejsze wycofanie nieużywanych kluczy oraz ogranicza ryzyko pozostawienia nieaktualnych ustawień.

Warto również sprawdzić, czy polityka DMARC nie wymaga podpisu DKIM dla określonych wiadomości. Zbyt rygorystyczna polityka wdrożona przed zakończeniem testów może spowodować odrzucanie prawidłowej korespondencji. Najpierw można obserwować raporty, poprawić wszystkie źródła wysyłki, a dopiero później zaostrzać zasady. Zakres zmian powinien odpowiadać rzeczywistej konfiguracji domeny i sposobowi prowadzenia korespondencji.

Kiedy zgłosić brak DKIM do Warszawskiego Pogotowia Komputerowego 24/7

Do serwisu warto zgłosić się wtedy, gdy brak DKIM powtarza się mimo poprawnego wpisu DNS, problem dotyczy kilku urządzeń lub programów, wiadomości firmowe regularnie nie docierają, albo nie można ustalić, które narzędzie odpowiada za wysyłkę. Analiza może obejmować odczyt nagłówków, porównanie ustawień domeny, sprawdzenie rekordów DNS oraz rozdzielenie problemu z podpisem od problemu z dostarczaniem poczty. Przydatne jest przygotowanie przykładowej wiadomości, informacji o czasie wysyłki i komunikatu otrzymanego od odbiorcy.

W przypadku kont pocztowych skonfigurowanych na laptopa można rozpocząć od sprawdzenia ustawień programu, aktualności danych konta i sposobu wysyłania wiadomości. Nie należy jednak usuwać konta ani kasować lokalnych danych przed ustaleniem, czy źródłem problemu jest urządzenie, program, domena czy usługa pocztowa. Jeżeli kłopot dotyczy konfiguracji domenowej, sama ponowna instalacja programu nie usunie przyczyny.

Warszawskie Pogotowie Komputerowe 24/7 może pomóc uporządkować objawy i wskazać, które elementy wymagają sprawdzenia po stronie urządzenia, programu lub konfiguracji domeny. Przed przekazaniem danych zaleca się usunięcie haseł i wrażliwej treści z przykładowych wiadomości, pozostawiając pełne nagłówki potrzebne do analizy. Tak przygotowany materiał pozwala szybciej ustalić, czy występuje rzeczywisty brak DKIM, błędna publikacja klucza, niezgodność selektora czy modyfikacja wiadomości po podpisaniu.