Kontrola DKIM

Podpis DKIM dokazuje, že správu odoslal niekto, kto vlastní váš kľúč, a že sa cestou nezmenila. Podpis má hodnotu iba vtedy, keď je verejný kľúč, ktorý ho overuje, publikovaný tam, kde ho príjemcovia hľadajú. Zadajte doménu a selector a zistite, či tam záznam je a čo obsahuje.

Čo je DKIM záznam v jednom odseku

Keď váš poštový systém odošle správu, podpíše ju súkromným kľúčom a pridá hlavičku DKIM-Signature, ktorá obsahuje doménu a selector. Prijímajúci server vezme tieto dva názvy, vyhľadá TXT záznam na selector._domainkey.vasadomena a verejným kľúčom v ňom overí podpis. Táto kontrola skúma publikovaný DNS kľúč a jeho tagy; neoveruje podpis konkrétneho e-mailu ani nedokazuje, že každý prúd pošty tento selector používa.

Päť dôvodov, prečo kontrolovať vlastný DKIM záznam

Zistite, či je kľúč skutočne publikovaný

Poskytovatelia pošty vás požiadajú o pridanie DKIM záznamu a ľahko ho pridáte na nesprávne miesto: pod nesprávny názov, na nesprávnu doménu alebo do DNS zóny, ktorú doména už nepoužíva. Stránka nastavenia povie „hotovo“, ale podpisy stále zlyhávajú, pretože záznam, ktorý príjemca hľadá, tam nie je.

Selector je jediný názov, ktorý nemožno uhádnuť

Doména môže mať naraz veľa DKIM kľúčov - jeden na poskytovateľa, prúd pošty alebo rok. Selector príjemcovi povie, ktorý má načítať, a nastavuje ho osoba, ktorá nakonfigurovala vašu poštu. Je v hlavičke DKIM-Signature každej odoslanej správy ako s=. Kontrola nesprávneho selectora nenájde nič, preto sa naň táto stránka pýta.

Odvolaný alebo prázdny kľúč vyzerá ako chýbajúci

Záznam s prázdnou hodnotou p= je kľúč zámerne odvolaný. Je to správne, keď ste vyradili poskytovateľa, a problém, keď ide o záznam, ktorým podpisuje váš súčasný poskytovateľ. Rozhoduje, že vidíte záznam presne tak, ako je publikovaný.

Staré kľúče prežijú poskytovateľov, ktorí ich používali

Každý poštový nástroj, ktorý ste vyskúšali, po sebe zanechal selector. Niektoré sú stále publikované a platné, hoci ich nikto, s kým pracujete, nepoužíva. Kľúč, ktorý nikto nerotuje, je kľúč, ktorého súkromná časť mala roky na únik, a ďalšie miesto, kde sa vaše záznamy potichu rozchádzajú s nastavením pošty.

DKIM je polovica DMARC, ktorá prežije preposlanie

SPF sa rozbije vo chvíli, keď sa správa prepošle. DKIM zvyčajne nie, pretože podpis cestuje spolu so správou. Preto politika DMARC, ktorá vyžaduje vynútenie, potrebuje DKIM záznam, ktorý skutočne funguje.

Zistite deň, keď sa záznam zmení

DKIM kľúče rotuje, nahrádza a maže osoba, ktorá spravuje poštovú platformu, a zmena sa do DNS dostane o niekoľko minút neskôr.

Plánované skeny z toho urobia rozdiel, na ktorý vás upozorníme: selector zmizol, záznam sa zmenil alebo známka klesla. Upozornenia prídu v aplikácii, e-mailom alebo cez Slack, Teams, Jira či webhook.

Krok 01 · Zadajte doménu

Doména, ktorú kontrolujete a pridali ste do účtu AYAsec. Vlastníctvo overíme ešte pred odoslaním čohokoľvek - AYAsec nebude plánovať skeny infraštruktúry, nad ktorou ste nepreukázali kontrolu, a preukázanie vyžaduje jeden DNS záznam. Rýchla kontrola vyššie toto preskočí: bez účtu a overenia, iba s obmedzením podľa IP a pravidlom, že cieľ musí byť verejná adresa.

Krok 02 · Nechajte kontrolu prebehnúť

DKIM záznamy sú verejné, preto ich čítame, nie skúšame útokom. Záznam vyhľadáme rovnakým spôsobom ako prijímajúci poštový server.

Krok 03 · Prečítajte výsledok

Nálezy prídu zoradené podľa závažnosti a so známkou A+ až F vedľa ostatných DNS záznamov patriacich k rovnakej poštovej konfigurácii.

Súčasť čoho je DKIM

DKIM je jeden z viacerých záznamov súvisiacich s poštou, ktoré AYAsec kontroluje v rámci DNS skenu, spolu s SPF, DMARC, MTA-STS, TLS-RPT a DNSSEC. Ide o jeden sken a táto stránka vysvetľuje iba jednu jeho časť.

DNS tvorí 20 % celkovej známky. HTTP tvorí 30 %, TLS a porty po 20 % a dôveryhodnosť domény 10 %. Všetky časti spolu v praxi tvoria správu útočnej plochy.

Otázky pred kontrolou

Čo môžem kontrolovať?

Infraštruktúru, ktorú vlastníte alebo máte zmluvne povolené testovať. Rýchla kontrola to za vás neoveruje - iba obmedzuje počet požiadaviek podľa IP a odmieta všetko okrem verejnej adresy. Pridajte doménu do účtu AYAsec a vlastníctvo overíme pred spustením plánovaného skenu. Je to právna hranica aj praktická podmienka, pretože neoverený sken vám nepomôže ani ako dôkaz.

Ako nájdem selector?

Odošlite správu zo systému, ktorý chcete kontrolovať, do schránky, ktorú ovládate. Otvorte úplné hlavičky a nájdite riadok DKIM-Signature. Hodnota za s= je selector a hodnota za d= je podpisujúca doména. Mnohí poskytovatelia používajú pevné názvy ako google alebo selector1.

Záznam, ktorý vidím, je CNAME. Je to chyba?

Nie. Viacerí poskytovatelia publikujú kľúč na vlastných nameserveroch a požiadajú vás, aby ste naň selector nasmerovali pomocou CNAME. Kľúč sa potom číta cez tento názov a poskytovateľ ho môže rotovať.

Znamená jeden úspešný selector, že moja pošta je podpísaná?

Znamená, že jeden kľúč je publikovaný. Či ho používa každý odosielaný prúd pošty, je otázka pre odosielací systém. Overíte to prečítaním hlavičiek skutočnej správy.

Stačí DKIM sám o sebe?

Nie. DKIM hovorí, kto správu podpísal, ale nehovorí, čo urobiť pri neplatnom podpise. To je úloha DMARC, ktorý spája DKIM a SPF s viditeľnou adresou From.

Uchovávate výsledky?

Rýchlu kontrolu vyššie nie - v pamäti zostane približne pätnásť minút, aby ste si ju mohli prečítať, a potom zmizne. Je to zámerná ochrana súkromia: výsledok nevidí nikto okrem vás a pred vypršaním si ho môžete stiahnuť. Pridajte doménu do účtu AYAsec a každý sken sa uchová - séria výsledkov ukáže, ktorá úprava ho pokazila. Dĺžka uchovania závisí od plánu.

Uchovávajte históriu, nielen výsledok

Spúšťajte úplnú DNS kontrolu vlastných domén podľa plánu a každú zmenu označte ľuďom, ktorí ju potrebujú vidieť.

Začať skenovať zadarmo Porovnať plány

Ďalšie kontroly

Zobraziť všetky bezplatné bezpečnostné skenery