DKIM Nedir?

Sayılarla ne demek?

DKIM, e-postaya bir tür mühür basar. Gönderim sunucusu, e-postanın belirli bölümlerinden (başlıklar ve içerik) gizli bir anahtarla imza üretir ve bunu e-postanın başlığına ekler. Alıcı sunucu, gönderenin alan adında yayınlanan açık anahtarı alır ve imzayı kontrol eder.

Bu kontrol iki şeyi kanıtlar. Birincisi, e-posta gerçekten o alan adının yetkilendirdiği bir kaynaktan gelmiştir. İkincisi, e-posta yolda değiştirilmemiştir; içerik değişseydi imza tutmazdı.

DKIM'in SPF'e göre önemli bir üstünlüğü vardır: e-posta başka bir adrese iletildiğinde de genellikle geçerliliğini korur. Bu yüzden DMARC hizalamasında çoğu zaman en güvenilir dayanak DKIM'dir.

Kurulumun parçaları

Seçici, birden fazla hizmetin aynı alan adıyla imzalamasını mümkün kılıyor. Pazarlama platformu bir seçici, işlemsel e-posta hizmeti başka bir seçici kullanıyor; her birinin açık anahtarı DNS'te ayrı bir kayıt olarak duruyor.

Doğru kurulum

1. Her gönderim hizmeti için DKIM'i açın. Platform ayarlarından.
2. Markanın alan adıyla imzalayın. Platformun alan adıyla değil.
3. DNS kayıtlarını ekleyin. Platformun verdiği değerlerle.
4. Test e-postasıyla doğrulayın. Başlıkta "geçti" sonucu.
5. Anahtarları dönemsel yenileyin. Güvenlik için.

Uygulamada ne oluyor?

En sık bulgu, e-postaların gönderim platformunun kendi alan adıyla imzalanması. İmza geçerli ama markanın alan adıyla hizalı değil; DMARC açısından bu imza işe yaramıyor.

İkinci gözlem, DNS kaydının yanlış eklenmesi. Açık anahtar uzun bir metin; bazı DNS panellerinde bölünüyor ya da eksik kopyalanıyor ve imza doğrulanamıyor.

Üçüncüsü, platform değiştirildiğinde eski kayıtların kalması. Artık kullanılmayan bir platformun DKIM kaydı DNS'te duruyor; bu doğrudan zararlı olmasa da kayıtların düzenini karmaşıklaştırıyor.

Dördüncüsü, kısa anahtar kullanılması. Eski kurulumlarda kalan 1024 bitlik anahtarlar hala çalışıyor ama güvenlik açısından zayıf kabul ediliyor; 2048 bite geçmek öneriliyor.

Beşincisi, e-posta içeriğinin gönderimden sonra değiştirilmesi. Bazı güvenlik ya da bağlantı izleme sistemleri e-postayı yolda değiştirdiğinde imza bozulabiliyor.

Altıncısı, işlemsel e-posta hizmetinin unutulması. Pazarlama e-postaları imzalı ama sipariş ve şifre e-postaları imzasız gidiyor; bu e-postalar DMARC politikası sıkılaştırıldığında reddedilebiliyor.

Yedincisi, iletilen e-postalarda DKIM'in önemi. Alıcı e-postayı başka bir adrese yönlendirdiğinde SPF bozuluyor ama DKIM imzası çoğu zaman sağlam kalıyor; bu yüzden DMARC'tan geçmek için DKIM temel dayanak.

Sekizincisi, test yapılmadan kampanya başlatılması. Kurulum tamamlandı sanılıyor ama DNS kaydı henüz yayılmamış; ilk gönderimler imzasız gidiyor.

Dokuzuncusu, alt alan adıyla imzalama. Pazarlama için bir alt alan adı kullanılıyorsa imza o alt alan adıyla atılıyor; DMARC'ın gevşek hizalama modunda bu kabul ediliyor, katı modda ise tam eşleşme gerekiyor.

Onuncusu, anahtar yenilemenin plansız yapılması. Yeni anahtar DNS'e eklenmeden eski anahtar kaldırıldığında, aradaki süre boyunca bütün e-postalar doğrulanamıyor; yeni seçiciyle kademeli geçiş gerekiyor.

On birincisi, DMARC raporlarında DKIM hatalarının görmezden gelinmesi. Raporlar hangi kaynağın imzasız ya da hatalı imzayla gönderdiğini açıkça gösteriyor; bu bilgi kurulum boşluklarını ortaya çıkarıyor.

On ikincisi, DKIM'in içerik kalitesini kanıtladığının sanılması. İmza yalnızca kimliği ve bütünlüğü kanıtlıyor; e-postanın istenip istenmediğini değil.

Neyi çözmez?

DKIM, imzasız e-postalara ne yapılacağını belirlemez. Bu kararı DMARC politikası verir.

Sıkça sorulan sorular

SPF'ten farkı ne?

SPF gönderen sunucuyu, DKIM e-postanın kendisini imzayla doğrular.

Hangi alan adıyla imzalanmalı?

Markanın kendi alan adıyla; hizalama için şart.

Anahtar uzunluğu ne olmalı?

Güncel öneri 2048 bit.

Bu kavramın bütün resim içindeki yerini Retention Pazarlama Rehberi içinde ayrıntılı anlattım.