DKIM

Google i Yahoo od lutego 2024 roku wymagają od nadawców masowych SPF oraz DKIM łącznie, a nie do wyboru. U Google progiem jest 5 000 wiadomości na dobę na adresy Gmail liczone na domenę, u Microsoftu ten sam próg obowiązuje od 5 maja 2025 roku dla outlook.com, hotmail.com i live.com, z wynikiem DKIM pass jako warunkiem koniecznym. Dla zespołu prowadzącego kilka domen wysyłkowych oznacza to tyle konfiguracji, ile domen, bo klucz jest przypisany do domeny, nie do skrzynki.

Selektor, czyli jak odbiorca znajduje klucz

Serwer nadawcy dokłada do wiadomości nagłówek DKIM-Signature, w którym są między innymi nazwa domeny, nazwa selektora, lista podpisanych nagłówków i skrót treści. Selektor jest etykietą wskazującą, pod jakim adresem w DNS leży klucz publiczny, w formie nazwa selektora, człon _domainkey i domena. Odbiorca odpytuje ten adres, pobiera klucz i sprawdza, czy podpis się zgadza.

Ta konstrukcja daje przewagę operacyjną nad SPF. Domena może mieć wiele selektorów jednocześnie, po jednym dla każdego systemu wysyłającego pocztę, więc dołożenie nowego narzędzia nie wymaga przebudowy jednego wspólnego rekordu ani nie zbliża konfiguracji do żadnego limitu. Podpis przetrwa też przekierowanie, o ile po drodze nic nie zmodyfikuje podpisanych nagłówków ani treści.

Co DKIM potwierdza, a czego nie

Poprawny podpis dowodzi dwóch rzeczy: że wiadomość wyszła z systemu dysponującego kluczem prywatnym tej domeny i że podpisana część nie została po drodze zmieniona. Na tym kończy się zakres ochrony. DKIM nie szyfruje treści, nie mówi nic o tym, czy nadawca jest tym człowiekiem, za kogo się podaje, i nie ocenia zawartości. Wiadomość podpisana bez zarzutu może być spamem, a filtr użyje wtedy podpisu do przypisania złej reputacji dokładnie tej domenie, co działa w obie strony.

Sam podpis nie wiąże też uwierzytelnienia z widocznym polem nadawcy. Narzędzie do wysyłki może podpisywać własną domeną techniczną, podczas gdy odbiorca w polu From widzi Twoją firmę, i taki układ przechodzi weryfikację DKIM, a mimo to nie spełnia wymogów dla nadawców masowych. Warunek zgodności domen wprowadza dopiero polityka DMARC nałożona na SPF i DKIM.

Gdzie to się psuje w praktyce

Najczęstszy błąd bierze się z rotacji domen. Zespół kupuje trzy domeny dodatkowe pod kampanię, podpina je do narzędzia i uznaje temat za zamknięty, tymczasem klucz publiczny trzeba opublikować osobno w DNS każdej z nich, bo skopiowany rekord z domeny głównej nie pasuje do klucza prywatnego, którym podpisuje nowe narzędzie. Efekt jest taki, że domeny dodatkowe wchodzą do rotacji bez uwierzytelnienia i wypalają się szybciej niż domena, którą miały chronić.

Drugi problem to modyfikacja wiadomości w tranzycie. Bramka bezpieczeństwa dopisująca stopkę albo lista dyskusyjna zmieniająca temat unieważniają skrót treści i podpis przestaje się zgadzać, choć nikt niczego nie podrabiał. Sprawdzenie podpisu wyprzedza szukanie przyczyn w treści, bo dane Sales.co z ponad dwóch milionów cold maili z lat 2025 i 2026 pokazują, że przy 20 do 50 wysyłkach dziennie na skrzynkę skargi utrzymują się na poziomie 0,3 procent, a przy 200 i więcej rosną do 16,2 procent. Uwierzytelnienie i wolumen na skrzynkę rozstrzygają o dostarczaniu wcześniej niż jakikolwiek zabieg redakcyjny.