DKIM tikrintuvas:
ar jūsų raktas pakankamai stiprus?

Įveskite domeną viršuje — selektorius nebūtinas. Paimame TXT įrašą adresu selector._domainkey.yourdomain (jei laukas tuščias, išbandome dešimt dažniausiai naudojamų selektorių), kiekvieną žymą patikriname pagal RFC 6376, o tada patį raktą: p= reikšmė dekoduojama iš base64, viduje esanti DER struktūra peržiūrima lauką po lauko, o modulis išmatuojamas ir įvertinamas — mažiau nei 1024 bitai silpna, 1024 priimtina, 2048 ir daugiau rekomenduojama. Nemokamai, be registracijos.

Selektorius yra vardas prieš ._domainkey – jį pasirenka pasirašymą sukonfigūravęs asmuo, ir DNS sąraše jo nerasite. Yra trys būdai jį sužinoti: atsiverskite savo išsiųstą laišką ir DKIM-Signature antraštėje pasižiūrėkite s= žymą (Gmail: „Rodyti originalą“); įklijuokite visą antraštę į šį įrankį ir mes jį patys išskirsime; arba palikite selektoriaus lauką tuščią – patikrinsime dešimt dažniausiai pasitaikančių: google, selector1/2, k1/k2, s1/s2, default, dkim, mail. Radę du veikiančius selektorius nesijaudinkite – taip ir turi atrodyti veikianti raktų rotacija.

Priimtinas, senstantis ir vertas suplanuoto pakeitimo. RSA-1024 viešai dar niekas neišskaidė — bet NIST jį naujiems parašams uždraudė dar 2013 m., RFC 8301 nurodo, kad DKIM pasirašytojai turėtų naudoti 2048 bitų raktus, o didieji pašto paslaugų teikėjai patys pasirašo 2048 bitų raktais. Avarinė situacija – ne 1024, o 512, kuris buvo išskaidytas 2012 m. nuomotais debesijos ištekliais. Šį raktą verčiau pakeisite patys pasirinktu metu, o ne vėliau – užpuoliko primestu.

Testavimo režimą. RFC 6376 §3.6.1 nurodo, kad tikrintojai paštą iš testavimo režimu veikiančio domeno turi vertinti lygiai taip pat kaip nepasirašytą — net jei parašas patikrinamas nepriekaištingai. Ši žyma skirta DKIM išbandyti diegimo metu be pasekmių. Bėda ta, kad ji veikia per gerai: kol įjungta, niekas negenda, todėl jos niekas ir nepašalina. Domenas tada metų metus pasirašinėja paštą veltui. Jei įrankis tokią aptinka, pataisyti užtenka ištrinti keturis simbolius.

Sąmoningas atšaukimas. RFC 6376 tuščią p= apibrėžia kaip „šis viešasis raktas atšauktas“. Tai tinkamas ženklas selektoriui, kurio jau atsisakėte, ir aiškesnis nei įrašo ištrynimas, kuris atrodo lygiai taip pat kaip rašybos klaida. Yra du būdai tai suprasti. Jei šio selektoriaus jau nebenaudojate ir juo niekas nebepasirašo — tvarka, palikite kaip yra. Jei koks nors siuntėjas juo vis dar pasirašo, kiekvienas toks laiškas dabar neišlaiko DKIM patikros. Patikrinkite DMARC ataskaitas, ar nėra dkim=fail su šiuo selektoriumi.

Tikrintojai privalo palaikyti iki 4096 (RFC 8301). Bet 4096 bitų raktas sukuria tokią ilgą TXT reikšmę, kad ją tenka skaidyti į kelias dalis, o kai kurių DNS tiekėjų sąsajos tai sugadina. Realaus saugumo pranašumo prieš 2048 tai neduoda — juk raktą vis tiek reikės periodiškai keisti, tad 2048 yra aukso vidurys. Kitas variantas — k=ed25519 (RFC 8463): nedideli 32 baitų raktai, moderni kriptografija. Tikrintojų palaikymas dar nėra visuotinis, todėl jį naudojantys paprastai pasirašo ir RSA raktu. Šis įrankis nuskaito k= reikšmę ir parodo, kurį tipą esate paskelbę.

Vienas pats – ne, ir geriau tai pasakyti atvirai. DKIM įrodo du dalykus: kad laiškas nuo pasirašymo momento nebuvo pakeistas ir kad už jį laiduoja domenas d=. Tačiau jis neįrodo, kad skaitytojo matoma From: eilutė sutampa su tuo domenu — klastotojas gali nepriekaištingai pasirašyti savo domenu, o rodyti jūsiškį. Šią spragą uždengia DMARC (suderinimas), o kurie serveriai apskritai gali siųsti laiškus, nusako SPF. Realiai veikia tik visos trys kartu: SPF + DKIM + DMARC. Šis įrankis patikrina, ar DKIM dalis tikra — nes atšauktas ar testinio režimo raktas tyliai pakerta ir kitas dvi.