Kontrola DKIM

Podpis DKIM dokazuje, že zprávu odeslal někdo, kdo vlastní váš klíč, a že se cestou nezměnila. Podpis má hodnotu pouze tehdy, když je veřejný klíč, který ho ověřuje, publikovaný tam, kde ho příjemci hledají. Zadejte doménu a selector a zjistěte, zda tam záznam je a co obsahuje.

Co je DKIM záznam v jednom odstavci

Když váš poštovní systém odešle zprávu, podepíše ji soukromým klíčem a přidá hlavičku DKIM-Signature, která obsahuje doménu a selector. Přijímající server vezme tyto dva názvy, vyhledá TXT záznam na selector._domainkey.vasedomena a veřejným klíčem v něm ověří podpis. Tato kontrola zkoumá publikovaný DNS klíč a jeho tagy; neověřuje podpis konkrétního e-mailu ani nedokazuje, že každý proud pošty tento selector používá.

Pět důvodů, proč kontrolovat vlastní DKIM záznam

Zjistěte, zda je klíč skutečně publikovaný

Poskytovatelé pošty vás požádají o přidání DKIM záznamu a snadno ho přidáte na špatné místo: pod špatný název, na špatnou doménu nebo do DNS zóny, kterou doména už nepoužívá. Stránka nastavení řekne „hotovo“, ale podpisy stále selhávají, protože záznam, který příjemce hledá, tam není.

Selector je jediný název, který nelze uhodnout

Doména může mít současně mnoho DKIM klíčů - jeden na poskytovatele, proud pošty nebo rok. Selector příjemci řekne, který má načíst, a nastavuje ho osoba, která nakonfigurovala vaši poštu. Je v hlavičce DKIM-Signature každé odeslané zprávy jako s=. Kontrola nesprávného selectoru nic nenajde, proto se na něj tato stránka ptá.

Odvolaný nebo prázdný klíč vypadá jako chybějící

Záznam s prázdnou hodnotou p= je klíč záměrně odvolaný. Je to správně, když jste vyřadili poskytovatele, a problém, když jde o záznam, kterým podepisuje váš současný poskytovatel. Rozhoduje, že vidíte záznam přesně tak, jak je publikovaný.

Staré klíče přežijí poskytovatele, kteří je používali

Každý poštovní nástroj, který jste vyzkoušeli, po sobě zanechal selector. Některé jsou stále publikované a platné, i když je nikdo, s kým pracujete, nepoužívá. Klíč, který nikdo nerotuje, je klíč, jehož soukromá část měla roky na únik, a další místo, kde se vaše záznamy potichu rozcházejí s nastavením pošty.

DKIM je polovina DMARC, která přežije přeposílání

SPF se rozbije ve chvíli, kdy se zpráva přepošle. DKIM obvykle ne, protože podpis cestuje spolu se zprávou. Proto politika DMARC, která vyžaduje vynucení, potřebuje DKIM záznam, který skutečně funguje.

Zjistěte den, kdy se záznam změní

DKIM klíče rotuje, nahrazuje a maže osoba, která spravuje poštovní platformu, a změna se do DNS dostane o několik minut později.

Plánované skeny z toho udělají rozdíl, na který vás upozorníme: selector zmizel, záznam se změnil nebo známka klesla. Upozornění přijdou v aplikaci, e-mailem nebo přes Slack, Teams, Jira či webhook.

Krok 01 · Zadejte doménu

Doména, kterou kontrolujete a přidali jste ji do účtu AYAsec. Vlastnictví ověříme ještě před odesláním čehokoli - AYAsec nebude plánovat skeny infrastruktury, nad kterou jste neprokázali kontrolu, a prokázání vyžaduje jeden DNS záznam. Rychlá kontrola výše toto přeskočí: bez účtu a ověření, pouze s omezením podle IP a pravidlem, že cíl musí být veřejná adresa.

Krok 02 · Nechte kontrolu proběhnout

DKIM záznamy jsou veřejné, proto je čteme, nezkoušíme je útokem. Záznam vyhledáme stejně jako přijímající poštovní server.

Krok 03 · Přečtěte výsledek

Nálezy přijdou seřazené podle závažnosti a se známkou A+ až F vedle ostatních DNS záznamů patřících ke stejné poštovní konfiguraci.

Součást čeho je DKIM

DKIM je jeden z několika záznamů souvisejících s poštou, které AYAsec kontroluje v rámci DNS skenu, spolu s SPF, DMARC, MTA-STS, TLS-RPT a DNSSEC. Jde o jeden sken a tato stránka vysvětluje pouze jednu jeho část.

DNS tvoří 20 % celkové známky. HTTP tvoří 30 %, TLS a porty po 20 % a důvěryhodnost domény 10 %. Všechny části dohromady v praxi tvoří správu útočné plochy.

Otázky před kontrolou

Co mohu kontrolovat?

Infrastrukturu, kterou vlastníte nebo máte smluvně povoleno testovat. Rychlá kontrola to za vás neověřuje - pouze omezuje počet požadavků podle IP a odmítá vše kromě veřejné adresy. Přidejte doménu do účtu AYAsec a vlastnictví ověříme před spuštěním plánovaného skenu. Je to právní hranice i praktická podmínka, protože neověřený sken vám nepomůže ani jako důkaz.

Jak najdu selector?

Odešlete zprávu ze systému, který chcete kontrolovat, do schránky, kterou ovládáte. Otevřete úplné hlavičky a najděte řádek DKIM-Signature. Hodnota za s= je selector a hodnota za d= je podepisující doména. Mnoho poskytovatelů používá pevné názvy jako google nebo selector1.

Záznam, který vidím, je CNAME. Je to chyba?

Ne. Někteří poskytovatelé publikují klíč na vlastních nameserverech a požádají vás, abyste na něj selector nasměrovali pomocí CNAME. Klíč se potom čte přes tento název a poskytovatel ho může rotovat.

Znamená jeden úspěšný selector, že moje pošta je podepsaná?

Znamená, že jeden klíč je publikovaný. Zda ho používá každý odesílaný proud pošty, je otázka pro odesílací systém. Ověříte to přečtením hlaviček skutečné zprávy.

Stačí DKIM samo o sobě?

Ne. DKIM říká, kdo zprávu podepsal, ale neříká, co udělat při neplatném podpisu. To je úloha DMARC, který spojuje DKIM a SPF s viditelnou adresou From.

Uchováváte výsledky?

Rychlou kontrolu výše ne - v paměti zůstane přibližně patnáct minut, abyste si ji mohli přečíst, a potom zmizí. Je to záměrná ochrana soukromí: výsledek nevidí nikdo kromě vás a před vypršením si ho můžete stáhnout. Přidejte doménu do účtu AYAsec a každý sken se uchová - série výsledků ukáže, která úprava ho pokazila. Délka uchování závisí na plánu.

Uchovávejte historii, nejen výsledek

Spouštějte úplnou DNS kontrolu vlastních domén podle plánu a každou změnu označte lidem, kteří ji potřebují vidět.

Začít skenovat zdarma Porovnat plány

Další kontroly

Zobrazit všechny bezplatné bezpečnostní skenery