DKIM Oluşturma

Oluşturulan DKIM Kaydını Nasıl Kullanırsınız?

Araç iki şey üretir: DNS'e eklenecek genel anahtar (public key) ve e-postayı imzalayacak sunucuya yüklenecek özel anahtar (private key). İkisi bir çifttir; biri olmadan diğeri işe yaramaz. DNS'e eklenecek kayıt şu biçimdedir:

Ad:    default._domainkey.ornekfirma.com.tr
Tür:   TXT
Değer: v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...IDAQAB

v=DKIM1 sürümü, k=rsa anahtar türünü, p= ise base64 biçimindeki genel anahtarı gösterir. p= değeri boş bırakılmış bir kayıt, RFC 6376'ya göre "bu anahtar iptal edildi" anlamına gelir. Kayıt adının başındaki default, formda girdiğiniz seçicidir (selector). Gönderen sunucu her postanın DKIM-Signature başlığına s=default yazar, alıcı da anahtarı bu adla DNS'te arar.

Anahtar boyutu

RFC 8301'e göre imzalayanlar en az 1024 bit kullanmalı, önerilen boyut 2048 bittir. 2048 bitlik bir anahtar tek bir TXT dizesinin 255 karakter sınırını aşar. Çoğu DNS paneli uzun değeri kendisi parçalara böler; elle zone dosyası yazıyorsanız değeri tırnak içinde birden çok parçaya bölmeniz gerekir: "v=DKIM1; k=rsa; p=MIIB..." "...IDAQAB". Parçalar tek kayıtta birleştirilerek okunur.

Sık görülen hatalar

• Özel anahtar sunucuya yüklenmemiş. DNS kaydı tek başına bir şey imzalamaz. Özel anahtar Postfix/OpenDKIM, Exim ya da kullandığınız gönderim servisine tanıtılmalıdır.
• Panelin kendi anahtarıyla çakışma. cPanel gibi paneller DKIM anahtarını kendisi üretir ve default seçicisini kullanır. Bu araçta ürettiğiniz anahtarı aynı seçiciyle eklerseniz sunucunun imzası ile DNS'teki anahtar uyuşmaz ve dkim=fail alırsınız. Panel DKIM'i zaten yönetiyorsa bu araca ihtiyacınız yoktur; ek bir servis için anahtar üretiyorsanız farklı bir seçici adı (örneğin bulten2026) kullanın.
• Alan adının iki kez yazılması. Birçok DNS paneli kayıt adının sonuna alan adını kendisi ekler. Ad alanına tam adı yazarsanız default._domainkey.ornekfirma.com.tr.ornekfirma.com.tr oluşur. Panelde yalnızca default._domainkey yazın.
• Satır sonlarıyla kopyalama. Araç anahtarı okunabilirlik için 64 karakterlik satırlara böler. DNS'e eklerken tek satırlık sürümü kopyalayın; araya giren satır sonu ya da boşluk anahtarı bozar.

Özel anahtarı koruyun

Özel anahtarı e-postayla göndermeyin, herkese açık bir klasörde ya da sürüm kontrol deposunda tutmayın. Kurum politikanız anahtarın kendi ortamınızda üretilmesini gerektiriyorsa aynı çifti OpenSSL ile de oluşturabilirsiniz:

openssl genrsa -out dkim-private.pem 2048
openssl rsa -in dkim-private.pem -pubout -out dkim-public.pem

Anahtarları düzenli aralıklarla yeni bir seçiciyle değiştirmek iyi bir alışkanlıktır: yeni seçiciyi DNS'e ekleyin, sunucuyu yeni anahtarla imzalayacak şekilde ayarlayın, eski kaydı yolda olan postalar doğrulanabilsin diye bir süre daha tutun.

Kontrol

Kayıt yayıldıktan sonra DMARC ve DKIM Sorgulama aracı default seçicisini kontrol eder. Başka bir seçici kullandıysanız kendinize bir test postası gönderip başlıkta dkim=pass arayın. Şubat 2024'ten bu yana Gmail ve Yahoo, toplu göndericilerden SPF ve DKIM'in ikisini birden istiyor; SPF kaydınızı da kontrol etmeyi unutmayın. DKIM'in hazır yapılandırıldığı bir posta altyapısı için BilHost kurumsal e-posta paketlerine bakabilirsiniz.