DKIM (DomainKeys Identified Mail)

DKIM (DomainKeys Identified Mail), RFC 6376 ile tanımlanan ve gönderen alan adının giden mesajları özel bir anahtarla imzalamasını sağlayan bir standarttır. Alıcılar eşleşen açık anahtarı DNS'ten alır ve imzayı doğrular. Geçerli bir imza, belirli bir alan adının mesajın sorumluluğunu üstlendiğini ve imzalanan kısımların yolda değiştirilmediğini gösterir.

Nasıl çalışır

Gönderen sunucu, Kimden, Konu ve Tarih gibi seçilmiş başlıkların ve mesaj gövdesinin özetini (hash) hesaplar ve özel anahtarla imzalar. Ardından imzalayan alan adını (d=) ve bir seçiciyi (s=) belirten bir DKIM-Signature başlığı ekler. Açık anahtar DNS'te selector._domainkey.example.com adresinde yayımlanır; böylece bir alan adı farklı hizmetler için birden fazla anahtar kullanabilir ve bunları dönüşümlü olarak yenileyebilir. SPF'den farklı olarak DKIM, mesaj değiştirilmediği sürece yönlendirmede genellikle bozulmaz; ancak alt bilgi ekleyen ya da konuyu değiştiren e-posta listeleri imzayı geçersiz kılabilir. DKIM tek başına, imza başarısız olduğunda ne yapılacağını söylemez ve d= alan adının Kimden adresiyle aynı olması da gerekmez. DMARC hem bir politika hem de imzalayan alan adının görünen gönderenle uyumlu olması şartını ekler.

Örnek

Temsilî bir örnek: Kurgusal bir şirket müşteri e-postalarını bir CRM platformu üzerinden gönderir. Platform şirketin kendi alan adıyla imzalayacak şekilde ayarlanana kadar mesajlar platformun alan adına ait bir imza taşır. Bu imza şirketin Kimden adresiyle uyumlu olmadığından DMARC yalnızca SPF'ye dayanmak zorunda kalır ve bu meşru mesajların bir kısmı kontrolden geçemez.

Sorunlar nasıl fark edilir

• Meşru bir hizmetten gelen e-postalar sizin değil, sağlayıcının alan adıyla imzalanmıştır.
• Başlıklarda ya da DMARC raporlarında, çoğunlukla mesajı değiştiren liste veya ağ geçitlerinden sonra dkim=fail görünür.
• Kısa anahtarlı eski seçiciler DNS'te hâlâ yayımdadır.
• Alan adınızdan geldiğini iddia eden mesajlarda hiç DKIM imzası yoktur.

Markalar ne yapabilir

• Sizin adınıza e-posta gönderen her hizmette kendi alan adınızla DKIM imzalamayı etkinleştirin.
• Sağlayıcılarınız destekliyorsa 2048 bitlik anahtarlar kullanın, anahtarları düzenli olarak yenileyin ve kullanılmayan seçicileri kaldırın.
• DMARC raporlarında imzalamayan ya da kontrolden geçemeyen kaynakları takip edin.
• DKIM'i SPF ve yaptırım düzeyinde bir DMARC politikasıyla birlikte kullanın.

DKIM bir mesajı kimin imzaladığını kanıtlar, ama bir dolandırıcının kendi kaydettiği benzer alan adıyla e-posta imzalamasını engelleyemez. Phishvoid bu alan adlarını bulur ve kaldırtır; ekiple iletişime geçebilirsiniz.

Devamını okuyun: SPF, DKIM ve DMARC ile Markanız Adına Sahte E-postayı Önleyin