Проблемы с настройкой записей CNAME

Domain Keys Identified Mail (DKIM) — это метод аутентификации электронной почты, который с помощью криптографии подтверждает, что электронное письмо было отправлено доверенными серверами и не было взломано.

В этой статье объясняется, что такое DKIM и CNAME, а затем описываются действия, которые вам необходимо предпринять, если проверка DKIM не удалась при попытке добавить записи CNAME для вашего пользовательского домена в Proton Mail(новое окно).

Как работает DKIM?

Когда сервер отправляет электронное письмо для вашего домена, он вычисляет зашифрованный хеш содержимого письма с помощью закрытого ключа (который знают только доверенные серверы) и добавляет его в заголовки письма в качестве подписи DKIM.

Принимающий сервер проверяет содержимое электронного письма: он находит соответствующий открытый ключ в записях DNS вашего домена, расшифровывает зашифрованный хеш и вычисляет новый хеш на основе полученного содержимого письма, чтобы проверить, совпадает ли расшифрованный хеш с новым. Если они совпадают, значит, письмо не изменялось, и проверка DKIM считается успешной. В противном случае проверка DKIM не проходит, и к письму относятся с подозрением.

Что такое записи CNAME?

Мы рекомендуем добавить в Proton Mail три записи для защиты от спуфинга: SPF, DKIM и DMARC. Мы используем записи CNAME для управления автоматической ротацией ключей DKIM, что является общепринятым стандартом безопасности. Это гарантирует постоянное наличие активного ключа для обеспечения бесперебойной работы службы, в то время как другие ключи автоматически выводятся из обращения и регулярно создаются заново для повышения безопасности.

Для более детального ознакомления с этой темой см. статью «Представляем управление ключами DKIM».

Записи CNAME, которые вы добавляете в настройки DNS своих доменов, должны точно соответствовать значениям, указанным в мастере настройки. Как только мы обнаружим эти записи в настройках DNS вашего домена, значок вкладки DKIM на странице настройки Изменить домен станет зеленым. После этого мы сообщим вам об этом и начнем подписывать исходящие электронные письма с вашего пользовательского домена с помощью DKIM — точно так же, как мы делаем это для других адресов Proton Mail.

Что делать, если проверка DKIM не удалась

Существует три возможные причины, по которым проверка DKIM может не пройти:

1. Вы ввели неверное значение CNAME в настройки DNS своего домена.

Это маловероятно, если вы скопировали и вставили значения со страницы настройки Изменить домен, но это всегда стоит проверить. Перейдите в раздел Настройки -> Все настройки -> Доменные имена -> нажмите кнопку «Просмотреть» рядом с доменом -> вкладка DKIM, чтобы увидеть требуемые значения.

Записи CNAME, которые вы добавляете в настройки DNS своих доменов, должны точно соответствовать значениям, указанным в мастере настройки.

2. Некоторые регистраторы не принимают значения CNAME с точкой на конце.

В то время как другим она обязательна. Если ваш регистратор не принимает записи CNAME с точкой на конце, пожалуйста, удалите точку в конце каждого значения CNAME и попробуйте еще раз.

3. У вас есть существующая запись DKIM типа TXT, которую необходимо удалить.

Если вы ранее настроили ручную ротацию ключей DKIM для своего домена с помощью записи TXT, вам необходимо удалить эту запись из настроек DNS перед вводом записей CNAME. Вам нужно заново настроить параметры DNS с записями CNAME, так как они позволяют Proton Mail настроить автоматическую ротацию ключей, в то время как ваша текущая запись TXT этого не позволяет.

После того как вы удалили эту запись TXT, вы сможете следовать инструкциям для новых пользователей. Как только вы удалите запись TXT, DKIM перестанет подписывать ваши электронные письма. Чтобы сохранить защиту DKIM, вам следует немедленно ввести имена хостов CNAME и их значения в настройки DNS.

Мы настоятельно рекомендуем всем, кто в настоящее время использует ручную ротацию ключей DKIM, перейти на новую автоматическую систему ротации ключей. Это не только избавит вас от необходимости ротировать ключи вручную, но и автоматически увеличит стойкость ключей, если вы используете 1024-битные ключи.