Problémy s konfigurací záznamů CNAME

Domain Keys Identified Mail (DKIM) je metoda ověřování e-mailů, která kryptograficky ověřuje, že e-mail byl odeslán důvěryhodnými servery a nebyl bez dovolení pozměněn.

Tento článek vysvětluje, co jsou DKIM a CNAME, a poté popisuje kroky, které byste měli provést, pokud kontrola DKIM selže při pokusu o přidání záznamů CNAME k vaší vlastní doméně v Proton Mailu(nové okno).

Jak funguje DKIM?

Když server odesílá e-mail pro vaši doménu, vypočítá šifrovaný hash obsahu e-mailu pomocí soukromého klíče (který znají pouze důvěryhodné servery) a přidá jej do hlaviček e-mailu jako podpis DKIM.

Přijímající server ověří obsah e-mailu vyhledáním odpovídajícího veřejného klíče v DNS záznamech vaší domény, dešifrováním šifrovaného hashe a výpočtem nového hashe na základě přijatého obsahu e-mailu, aby zjistil, zda se dešifrovaný hash shoduje s novým hashem. Pokud se shodují, e-mail se nemohl změnit, a proto ověření DKIM projde. V opačném případě ověření DKIM selže a s e-mailem se zachází jako s podezřelým.

Co jsou záznamy CNAME?

Doporučujeme v Proton Mailu přidat tři záznamy proti spoofingu: SPF, DKIM a DMARC. K nastavení automatické rotace klíčů DKIM používáme záznamy CNAME, což je uznávaný osvědčený postup zabezpečení. To zajišťuje, že se k zajištění nepřetržitého provozu vždy používá aktivní klíč, zatímco ostatní klíče jsou z důvodu vyššího zabezpečení pravidelně automaticky vyřazovány a znovu vytvářeny.

Podrobnější pohled na toto téma naleznete v článku Představení správy klíčů DKIM.

Záznamy CNAME, které přidáte do nastavení DNS svých domén, se musí přesně shodovat s těmi, které se zobrazují v průvodci nastavením. Jakmile tyto záznamy v nastavení DNS vaší domény detekujeme, ikona záložky DKIM na stránce nastavení Upravit doménu se rozsvítí zeleně. Poté vás upozorníme a začneme odchozí e-maily z vaší vlastní domény podepisovat pomocí DKIM, stejně jako to děláme u ostatních adres v Proton Mailu.

Co dělat, pokud kontrola DKIM selže

Existují tři možné důvody, proč by kontrola DKIM mohla selhat:

1. Do nastavení DNS své domény jste zadali nesprávnou hodnotu CNAME.

To je nepravděpodobné, pokud jste hodnoty zkopírovali a vložili z naší stránky pro nastavení Upravit doménu, ale vždy stojí za to to zkontrolovat. Chcete-li zobrazit požadované hodnoty, přejděte do nabídky Nastavení -> Všechna nastavení -> Názvy domén -> stiskněte tlačítko Zkontrolovat vedle domény -> záložka DKIM.

Záznamy CNAME, které přidáte do nastavení DNS svých domén, se musí přesně shodovat s těmi, které se zobrazují v průvodci nastavením.

2. Někteří registrátoři nepřijímají hodnoty CNAME s tečkou na konci.

Zatímco jiní ji vyžadují. Pokud váš registrátor nepřijímá vaše záznamy CNAME s tečkou na konci, smažte tečku na konci každé hodnoty CNAME a zkuste to znovu.

3. Máte stávající záznam DKIM jako záznam TXT, který je nutné smazat.

Pokud jste dříve pro svou doménu nakonfigurovali ruční rotaci klíčů DKIM pomocí záznamu TXT, musíte tento záznam před zadáním záznamů CNAME z nastavení DNS odstranit. Musíte znovu nakonfigurovat nastavení DNS pomocí záznamů CNAME, protože ty umožňují Proton Mailu nastavit automatickou rotaci klíčů, což váš aktuální záznam TXT neumožňuje.

Jakmile tento záznam TXT smažete, můžete postupovat podle pokynů pro nové uživatele. Po smazání záznamu TXT přestane DKIM vaše e-maily podepisovat. Chcete-li zachovat ochranu DKIM, měli byste do nastavení DNS okamžitě zadat názvy serverů a hodnoty CNAME.

Důrazně doporučujeme všem, kteří v současné době používají ruční rotaci klíčů DKIM, aby přešli na nový systém automatické rotace klíčů. Nejenže tím odpadne nutnost ruční rotace klíčů, ale také se automaticky zvýší síla vašich klíčů, pokud používáte 1024bitové klíče.