DKIM nedir? E-posta imzası nasıl doğrulanır?

DKIM, e-postaya alan adıyla ilişkilendirilen bir dijital imza eklenmesini sağlar. Alıcı sistem, DNS’te yayınlanan açık anahtarı kullanarak imzayı denetler. Bu yöntem mesajın belirli bölümlerinin imzalandıktan sonra değişip değişmediğini anlamaya yardımcı olur. DKIM kaydını DNS’e eklemek kadar, gönderim yapan sunucunun gerçekten bu anahtarla imza üretmesi de önemlidir.

İmza ile şifreleme aynı şey değildir

DKIM, mesaj içeriğini alıcı dışındaki herkes için okunamaz hâle getiren bir şifreleme sistemi değildir. Gönderen alan adı adına imzalama ve doğrulama işlevi görür. Bir mesajın DKIM sonucu başarılı olsa da zararlı içerik taşımadığı veya alıcının gelen kutusuna kesin ulaşacağı garanti edilmez. Hesap güvenliği, taşıma şifrelemesi ve gönderici doğrulaması farklı katmanlardır.

DKIM’de selector adı, kullanılacak açık anahtarın DNS’teki yerini belirler. Farklı e-posta servisleri aynı alan adı altında farklı selector kullanabilir. Bu, her servisin kendi anahtarıyla imza üretmesini mümkün kılar. Bir hizmetten alınan anahtarın başka bir hizmetin imzasını doğrulayacağını varsaymayın.

Hazırlık: Gerçek gönderim hizmetini bulun

Kurumsal postanız, web formunuz ve fatura sisteminiz aynı sunucudan çıkmıyor olabilir. Hangi sistemin hangi DKIM alan adı ve selector ile imza attığını listeleyin. cPanel’in Email Deliverability ekranında görünen öneri cPanel sunucusundan yapılan gönderimle ilgili olabilir; dış sağlayıcının anahtarı ayrıca alınmalıdır. Özel anahtar DNS’e veya destek mesajına yazılmaz; yayınlanan kısım açık anahtardır.

Kurulum ve kontrol adımları

1. Hizmetin verdiği kayıt adını alın. Selector ve _domainkey bölümünü doğru kopyalayın. Panelin alan adını otomatik ekleyip eklemediğini kontrol ederek adın iki kez yazılmasını önleyin.
2. Doğru kayıt türünü kullanın. Sağlayıcı TXT veya CNAME isteyebilir. Bir yöntemin değerini diğer türde kaydetmeyin; hedefi ve alanları resmi kurulum ekranıyla karşılaştırın.
3. Açık anahtarı eksiksiz yayınlayın. Uzun anahtardaki karakterleri elle kısaltmayın. DNS paneli değeri parçalara ayırarak gösteriyorsa bunun arayüz davranışı olup olmadığını kontrol edin.
4. Gönderim tarafını etkinleştirin. Bazı hizmetlerde DNS doğrulamasından sonra imzalamayı ayrıca açmak gerekir. Kayıt eklenmesini bütün kurulumun sonu kabul etmeyin.
5. Gerçek mesajı inceleyin. Harici bir kutuya test mesajı gönderin. İleti başlığındaki DKIM-Signature ve alıcının Authentication-Results alanında kullanılan alan adı, selector ve sonucu kontrol edin.

İmza neden başarısız olabilir?

Yanlış selector, eksik DNS kaydı, hatalı açık anahtar veya mesajın imzalandıktan sonra değiştirilmesi doğrulamayı bozabilir. Bir aracı sistemin e-postaya alt bilgi eklemesi gibi işlemler de sonucu etkileyebilir. Hangi sunucunun imzaladığını ve mesajın hangi ara noktalardan geçtiğini incelemeden tüm DNS kayıtlarını yeniden oluşturmayın.

Örneğin normal personel postaları DKIM’den geçerken CRM mesajları imzasız olabilir. Bu durumda ana alan adındaki bir kaydın varlığı, CRM’in doğru imzaladığı anlamına gelmez. CRM’nin kendi gönderim ve alan adı doğrulama ayarlarını inceleyin. Her aktif gönderim akışı için ayrı bir test mesajı kullanmak sorunun kapsamını daraltır.

Anahtar değişimi nasıl planlanır?

Sağlayıcı anahtar yenilemesi istediğinde eski kaydı aniden silmek yerine önerdiği geçiş sürecini izleyin. Yeni selector’ın yayınlanması ve kullanılmasıyla eski imzalı iletilerin doğrulanması aynı anda değerlendirilmelidir. Kullanımı biten hizmetlerin kayıtlarını da envanterde işaretleyin; hangi kaydın hâlâ gerekli olduğu anlaşılmadan temizlik yapmayın.

Sık sorulan sorular

DKIM ve SPF birlikte kullanılabilir mi? Evet. Farklı doğrulama yöntemleridir; DMARC politikasıyla birlikte değerlendirilirler.

İmza başarılıysa görünen From adresi de doğrulanmış mı olur? DMARC açısından imzalayan alan adıyla görünen From alan adı arasındaki hizalama ayrıca önemlidir.

Açık anahtarı herkes görebilir mi? Evet, DNS’te yayınlanır. Gizli tutulması gereken, gönderim sistemindeki özel anahtardır.

İlgili teknik kaynaklar

• IETF RFC 6376: DKIM
• cPanel: Email Deliverability