Problemy z konfiguracją rekordów CNAME

Domain Keys Identified Mail (DKIM) to metoda uwierzytelniania wiadomości e-mail, która kryptograficznie weryfikuje, czy wiadomość została wysłana z zaufanych serwerów i nie została naruszona.

Ten artykuł wyjaśnia, czym są DKIM i CNAME, a następnie opisuje kroki, które musisz wykonać, jeśli weryfikacja DKIM się nie powiedzie podczas próby dodania rekordów CNAME do Twojej niestandardowej domeny w Proton Mail(nowe okno).

Jak działa DKIM?

Gdy serwer wysyła wiadomość e-mail z Twojej domeny, oblicza zaszyfrowany skrót kryptograficzny zawartości wiadomości przy użyciu klucza prywatnego (który znają tylko zaufane serwery) i dodaje go do nagłówków wiadomości jako podpis DKIM.

Serwer odbiorczy zweryfikuje zawartość wiadomości e-mail, wyszukując odpowiedni klucz publiczny w rekordach DNS Twojej domeny, odszyfrowując zaszyfrowany skrót kryptograficzny i obliczając nowy skrót na podstawie otrzymanej zawartości wiadomości, aby sprawdzić, czy odszyfrowany skrót zgadza się z nowym skrótem. Jeśli się zgadzają, oznacza to, że wiadomość nie została zmieniona, więc weryfikacja DKIM przebiega pomyślnie. W przeciwnym razie DKIM kończy się niepowodzeniem, a wiadomość jest traktowana jako podejrzana.

Czym są rekordy CNAME?

Zalecamy, aby w Proton Mail dodać trzy rekordy chroniące przed podszywaniem się: SPF, DKIM i DMARC. Używamy rekordów CNAME do zarządzania automatyczną rotacją kluczy DKIM, co jest przyjętą najlepszą praktyką w zakresie bezpieczeństwa. Gwarantuje to, że zawsze dostępny jest aktywny klucz używany do zapewnienia nieprzerwanego działania usługi, podczas gdy inne klucze są regularnie automatycznie wycofywane i tworzone na nowo w celu zwiększenia bezpieczeństwa.

Więcej informacji na ten temat znajdziesz w artykule Przedstawiamy zarządzanie kluczami DKIM.

Rekordy CNAME, które dodasz do ustawień DNS swoich domen, muszą być dokładnie takie same jak te pokazane w kreatorze konfiguracji. Gdy wykryjemy te rekordy w ustawieniach DNS Twojej domeny, ikona karty DKIM na stronie konfiguracji Edytuj domenę zmieni kolor na zielony. Następnie powiadomimy Cię o tym i zaczniemy podpisywać wiadomości wychodzące z Twojej niestandardowej domeny za pomocą DKIM, tak jak robimy to w przypadku innych adresów Proton Mail.

Co zrobić, jeśli weryfikacja DKIM się nie powiedzie

Istnieją trzy możliwe przyczyny niepowodzenia weryfikacji DKIM:

1. Wpisałeś nieprawidłową wartość CNAME w ustawieniach DNS swojej domeny.

Jest to mało prawdopodobne, jeśli skopiujesz i wkleisz wartości ze strony konfiguracji Edytuj domenę, ale zawsze warto to sprawdzić. Przejdź do: Ustawienia -> Wszystkie ustawienia -> Nazwy domen -> naciśnij przycisk Podgląd obok domeny -> karta DKIM, aby zobaczyć wymagane wartości.

Rekordy CNAME, które dodasz do ustawień DNS swoich domen, muszą być dokładnie takie same jak te pokazane w kreatorze konfiguracji.

2. Niektórzy rejestratorzy nie akceptują wartości CNAME z kropką na końcu.

Podczas gdy inni jej wymagają. Jeśli Twój rejestrator nie akceptuje rekordów CNAME z kropką na końcu, usuń kropkę na końcu każdej wartości CNAME i spróbuj ponownie.

3. Masz istniejący rekord DKIM jako TXT, który musi zostać usunięty.

Jeśli wcześniej ręcznie skonfigurowałeś rotację kluczy DKIM dla swojej domeny za pomocą rekordu TXT, musisz usunąć ten rekord z ustawień DNS przed wprowadzeniem rekordów CNAME. Musisz ponownie skonfigurować ustawienia DNS za pomocą rekordów CNAME, ponieważ pozwalają one Proton Mail na skonfigurowanie automatycznej rotacji kluczy, czego nie umożliwia Twój obecny rekord TXT.

Po usunięciu tego rekordu TXT możesz postępować zgodnie z instrukcjami dla nowych użytkowników. DKIM przestanie podpisywać Twoje wiadomości e-mail po usunięciu rekordu TXT. Aby utrzymać ochronę DKIM, powinieneś natychmiast wprowadzić nazwy hostów i wartości CNAME w ustawieniach DNS.

Zdecydowanie zalecamy wszystkim, którzy obecnie korzystają z ręcznej rotacji kluczy DKIM, przejście na nowy automatyczny system rotacji kluczy. Nie tylko wyeliminuje to potrzebę ręcznej rotacji kluczy, ale także automatycznie zwiększy siłę klucza, jeśli używasz kluczy 1024-bitowych.