brak rekordu DKIM

Brak rekordu DKIM to usterka konfiguracji domenowej pozbawiająca wiadomości kryptograficznego podpisu potwierdzającego ich autentyczność.

Brak rekordu DKIM – czym jest problem z podpisem wiadomości

Brak rekordu DKIM oznacza, że dla domeny nie opublikowano w systemie DNS informacji potrzebnej do weryfikowania podpisu kryptograficznego dodawanego do poczty wychodzącej. Sam DKIM, czyli DomainKeys Identified Mail, działa dzięki parze kluczy. Klucz prywatny pozostaje po stronie systemu wysyłającego wiadomości i służy do tworzenia podpisu w nagłówku e-maila. Klucz publiczny powinien być dostępny w odpowiednim rekordzie TXT domeny. Odbiorca odczytuje ten rekord, sprawdza podpis i ocenia, czy wiadomość rzeczywiście została wysłana w imieniu wskazanej domeny oraz czy jej treść nie została zmieniona po drodze.

Jeżeli rekordu DKIM brakuje, odbiorca nie ma możliwości wykonania pełnego sprawdzenia tego mechanizmu. Nie musi to oznaczać, że każda wiadomość zostanie odrzucona. Wpływ na dostarczenie zależy od polityki odbiorcy, reputacji domeny, zgodności adresu nadawcy z innymi mechanizmami ochrony oraz od tego, czy wiadomość wygląda na typową korespondencję, czy na próbę podszycia się pod nadawcę. Brak rekordu jest jednak sygnałem niepełnej konfiguracji i może obniżać wiarygodność poczty.

Brak DKIM w DNS – kontekst techniczny i porównanie z SPF oraz DMARC

DKIM należy rozpatrywać razem z SPF i DMARC, ponieważ każdy z tych mechanizmów odpowiada za inny fragment oceny wiadomości. SPF określa, z jakich systemów można wysyłać pocztę dla danej domeny. DKIM potwierdza podpisem, że wiadomość została oznaczona przez uprawniony system i nie zmieniono jej po podpisaniu. DMARC wskazuje natomiast, jak odbiorca powinien postępować, gdy kontrola SPF lub DKIM zakończy się niepowodzeniem. DMARC może również korzystać z tak zwanego dopasowania domeny, dzięki któremu sprawdzane jest, czy domena wykorzystana w podpisie odpowiada domenie widocznej w adresie nadawcy.

W praktyce można spotkać kilka podobnych, lecz odmiennych sytuacji. Rekord DKIM może nie istnieć wcale, może znajdować się pod niewłaściwym selektorem, może zawierać niepełny klucz publiczny albo może wskazywać na nieaktualny wpis. Czasem rekord jest poprawny, ale system wysyłający używa innego selektora niż ten, którego szuka osoba wykonująca kontrolę. Zdarza się także, że zmiana dostawcy poczty pozostawia stare wpisy, a nowa usługa wymaga opublikowania nowego klucza. Samo dodanie dowolnego rekordu TXT z ciągiem znaków nie rozwiązuje problemu, ponieważ wpis musi odpowiadać konfiguracji konkretnego nadawcy.

Ważna jest również różnica między brakiem rekordu a błędem podpisu. Przy braku rekordu odbiorca nie znajduje klucza publicznego dla użytego selektora. Przy błędzie podpisu rekord może istnieć, lecz podpis może być niezgodny z treścią wiadomości, uszkodzony, wygenerowany przy użyciu innego klucza lub odrzucony z powodu nieprawidłowego formatu. Rozróżnienie tych przypadków ułatwia dalszą diagnostykę.

Brak rekordu DKIM – typowe objawy i przyczyny

Najczęstszym objawem jest pogorszenie dostarczalności poczty. Wiadomości mogą trafiać do folderu niechcianych, być oznaczane ostrzeżeniem albo nie docierać do części odbiorców. Nie zawsze występuje natychmiastowy komunikat o błędzie, dlatego problem może zostać zauważony dopiero po porównaniu kilku skrzynek odbiorczych lub po analizie nagłówków wiadomości. W nagłówkach można znaleźć informacje o wyniku kontroli DKIM, SPF i DMARC, a także nazwę selektora wykorzystanego przy podpisywaniu.

Do częstych przyczyn należy pominięcie konfiguracji po podłączeniu nowej usługi pocztowej, usunięcie rekordu podczas porządkowania strefy DNS, literówka w nazwie selektora lub w wartości klucza oraz opublikowanie rekordu w niewłaściwej domenie. Problem może powstać również po zmianie dostawcy hostingu, przeniesieniu domeny albo rozdzieleniu obsługi strony internetowej i poczty między różne usługi. Jeżeli wiadomości są wysyłane z kilku niezależnych systemów, każdy z nich może używać osobnego selektora i wymagać własnego rekordu.

Znaczenie ma także sposób wpisania danych w panelu DNS. Rekord powinien mieć właściwy typ, nazwę i wartość. Zbyt długi klucz może być podzielony na kilka fragmentów zgodnie z wymaganiami panelu, ale nie powinno się samodzielnie zmieniać jego treści. Warto zwrócić uwagę na dodatkowe cudzysłowy, spacje, przypadkowo wstawione znaki oraz automatyczne dopisywanie nazwy domeny przez panel. Takie szczegóły mogą sprawić, że wpis wygląda poprawnie w interfejsie, lecz nie jest odnajdywany w publicznym DNS.

Brak rekordu DKIM – praktyczne wskazówki diagnostyczne

Najpierw należy ustalić, która usługa faktycznie wysyła wiadomości. W jednej domenie poczta może być obsługiwana przez główną skrzynkę, formularz kontaktowy, system powiadomień, platformę do wysyłki biuletynów oraz aplikację generującą komunikaty automatyczne. Każde źródło może korzystać z innego selektora DKIM. W dokumentacji danej usługi należy odszukać nazwę rekordu, klucz publiczny i sposób jego opublikowania, a następnie porównać te dane ze strefą DNS.

Do sprawdzenia można użyć narzędzia analizującego rekordy DNS albo polecenia odczytującego rekord TXT dla pełnej nazwy selektora. Nazwa ma zwykle postać złożoną z selektora, fragmentu „_domainkey” i domeny. Jeżeli nie wiadomo, jaki selektor został użyty, pomocne bywa przejrzenie nagłówków otrzymanej wiadomości. Należy zachować ostrożność przy interpretacji wyników z pamięci podręcznej, ponieważ zmiana DNS nie zawsze jest widoczna od razu w każdym miejscu. Weryfikacja powinna być wykonana ponownie po czasie wskazanym przez operatora domeny.

Po opublikowaniu rekordu warto wysłać wiadomość testową do kilku niezależnych skrzynek i sprawdzić nagłówki po stronie odbiorcy. Wynik „pass” dla DKIM nie zawsze oznacza pełną poprawność całej konfiguracji, ponieważ osobno oceniane są SPF, zgodność domen oraz polityka DMARC. Warto więc analizować komplet wyników, a nie tylko jeden wiersz. Nie powinno się też usuwać starych rekordów bez ustalenia, czy nadal korzysta z nich któryś z używanych systemów wysyłkowych.

Kiedy zgłosić brak rekordu DKIM do serwisu

Do serwisu warto zgłosić problem, gdy poczta przestaje docierać, pojawiają się powtarzalne ostrzeżenia o autentyczności nadawcy, zmiana DNS została wykonana bez pewności co do jej poprawności albo nie da się ustalić, który system korzysta z danego selektora. Przydatne będzie przekazanie przykładowej wiadomości wraz z pełnymi nagłówkami, informacji o domenie oraz opisu momentu, od którego występuje problem. Nie należy przesyłać haseł ani kluczy prywatnych, ponieważ do podstawowej diagnostyki potrzebne są przede wszystkim dane publiczne i nagłówki wiadomości.

Warszawskie Pogotowie Komputerowe 24/7 może pomóc w uporządkowaniu przebiegu diagnostyki, odczytaniu wyników kontroli DNS i wskazaniu miejsca, w którym konfiguracja wymaga korekty. W przypadku poczty firmowej szczególnie istotne jest ustalenie wszystkich źródeł wysyłki, sprawdzenie zgodności rekordów oraz wykonanie testu po zmianach. Dzięki temu można odróżnić rzeczywisty brak rekordu DKIM od problemu z selektorem, opóźnienia aktualizacji DNS albo niezgodności między używanym systemem a opublikowanym kluczem.