DKIM

DKIM (ang. DomainKeys Identified Mail) to standard uwierzytelniania poczty elektronicznej, w którym serwer wysyłający dodaje do każdej wiadomości podpis kryptograficzny powiązany z domeną nadawcy. Serwer odbiorcy weryfikuje ten podpis przy użyciu klucza publicznego opublikowanego w DNS — potwierdzając, że e-mail rzeczywiście pochodzi z deklarowanej domeny i nie został zmodyfikowany po drodze.

Jak działa DKIM?

Mechanizm opiera się na kryptografii asymetrycznej (para kluczy RSA lub Ed25519):

1. Administrator generuje parę kluczy. Klucz prywatny trafia na serwer pocztowy, a publiczny — do strefy DNS jako rekord TXT pod nazwą selektor._domainkey.domena.pl.
2. Przy wysyłce serwer wylicza skrót (hash) wybranych nagłówków i treści wiadomości, szyfruje go kluczem prywatnym i dokleja jako nagłówek DKIM-Signature. Nagłówek zawiera m.in. domenę podpisującą (d=), selektor (s=) i listę podpisanych pól (h=).
3. Serwer odbiorcy pobiera z DNS klucz publiczny wskazany selektorem, odszyfrowuje podpis i porównuje skróty. Zgodność oznacza wynik DKIM=PASS.

Selektory pozwalają utrzymywać wiele kluczy równolegle — np. osobny dla serwera firmowego i osobny dla platformy mailingowej — oraz rotować klucze bez przerwy w działaniu.

Zastosowanie w praktyce

DKIM jest dziś w praktyce obowiązkowy: Gmail i Yahoo od 2024 roku wymagają uwierzytelnienia od nadawców masowych, a brak podpisu drastycznie obniża dostarczalność. Typowa konfiguracja obejmuje: wygenerowanie kluczy (w panelu hostingu, np. DirectAdmin, zwykle jednym kliknięciem), publikację rekordu TXT, a następnie spięcie całości polityką DMARC, która mówi odbiorcom, co robić z wiadomościami niepodpisanymi.

Warto pamiętać, że DKIM podpisuje wiadomość, ale sam nie blokuje podszywania się pod pole „Od" — dopiero DMARC sprawdza zgodność domeny z podpisu z domeną widoczną dla użytkownika. Zalecana długość klucza RSA to minimum 2048 bitów; klucze 1024-bitowe uznaje się za zbyt słabe.