Генератор DKIM

Генератор DKIM выдаёт пару ключей и готовую запись для DNS. Открытый ключ попадает в запись TXT, которую вы публикуете в панели DNS, закрытый нужен почтовому серверу для подписи писем. Прежде чем показать результат, страница ставит закрытым ключом подпись на пробную строку и проверяет её открытым ключом из готовой записи; запись вы видите только после успешной сверки, о чём говорит строка «Пара сверена».

Куда что положить

Закрытый ключ сохраните в файл, который читает почтовая служба: страница отдаёт его файлом mail.private, имя файла повторяет селектор. Файл закройте от чужих, потому что владелец закрытого ключа может подписывать письма от имени вашего домена. Запись TXT публикуйте в DNS.

Селектор — короткое имя ключа. На одном домене их бывает несколько, у каждого своя запись. Имя записи складывается из селектора, слова _domainkey и домена: mail._domainkey.example.com. Многие панели DNS сами дописывают домен, тогда в поле имени достаточно mail._domainkey. Домен в поле на странице заполнять не обязательно: сам ключ от него не зависит, он нужен только для полного имени записи.

Как это работает. Ваш сервер ставит на письмо подпись закрытым ключом и пишет её в заголовок DKIM-Signature, где среди прочего указаны домен в теге d= и селектор в теге s=. Получатель по этим двум значениям ищет вашу запись в DNS и сверяет подпись открытым ключом. После публикации записи посмотрите на неё глазами получателя: проверка DKIM показывает запись так, как её берут чужие серверы, а без политики DMARC подпись проверяется, но к письму не применяется — это проверяет проверка DMARC.

Какой ключ выбрать

По умолчанию страница делает ключ RSA 2048 бит, и это разумный выбор. Ключ RSA 1024 бит примут все получатели, но RFC 8301 не советует опускаться ниже 2048.

Если панель DNS не принимает длинную запись целиком, вставьте её кусками в кавычках: такие куски страница выдаёт отдельным полем.

RSA 4096 бит даёт запись почти в 800 знаков, и не всякая панель DNS такое примет. Ed25519 (RFC 8463) компактен, его запись занимает 85 знаков, но понимают такой ключ не все получатели. Тот, кто не понял, решает, что письма без подписи, поэтому Ed25519 публикуют вторым ключом на своём селекторе, а RSA оставляют на прежнем.

Почему запись хранится в DNS кусками

Одна строка TXT в DNS ограничена 255 знаками. Ключ RSA 2048 бит даёт запись в 429 знаков, поэтому страница выдаёт её двумя строками в кавычках. Получатель склеивает строки без разделителя, так что место разреза не важно. Часть панелей режет длинную запись сама, тогда вставляйте её целиком. Записи ключей Ed25519 и RSA 1024 бит помещаются в одну строку.

Как менять ключ DKIM

Новый ключ публикуйте на новом селекторе и переключайте на него почтовый сервер. Старую запись не убирайте сразу: получатели ещё разбирают письма, ушедшие со старой подписью, и без старой записи проверка не удастся. Держите запись, пока могут прийти такие письма.

Когда старый ключ больше никому не нужен, отзовите его, поставив в записи пустой тег p=. После отзыва письмо со старой подписью проверку не пройдёт.