配置 cname 記錄的問題

Domain Keys Identified Mail (DKIM) 是一種電子郵件驗證方法，透過加密方式驗證電子郵件是否由受信任的伺服器傳送且未被竄改。

本文將先說明什麼是 DKIM 和 cname，再介紹在 Proton Mail(新視窗) 中嘗試將 cname 記錄加入自訂網域時，若 DKIM 檢查失敗，你應該遵循的步驟。

DKIM 是如何運作的？

當伺服器傳送你網域的電子郵件時，它會使用私有金鑰（只有受信任的伺服器知道）計算電子郵件內容的已加密雜湊，並將其作為 DKIM 簽名加入 電子郵件標頭 中。

接收伺服器會透過在你網域的 DNS 記錄中查詢對應的公開金鑰、解密已加密雜湊，並根據收到的電子郵件內容計算新雜湊，來驗證電子郵件內容，以查看解密後的雜湊是否與新雜湊相符。如果相符，表示電子郵件未被變更，因此 DKIM 通過。否則，DKIM 將失敗，而該電子郵件會被視為可疑郵件。

什麼是 cname 記錄？

我們建議為 Proton Mail 加入 三種防欺詐記錄：SPF、DKIM 和 DMARC。我們使用 cname 記錄來管理自動 DKIM 金鑰輪替，這是公認的安全最佳做法。這能確保始終有使用中的金鑰來提供不中斷的服務，同時其他金鑰會定期自動停用並重新建立，以提高安全性。

請參閱 DKIM 金鑰管理介紹以進一步瞭解此主題。

你加入網域 DNS 設定的 cname 記錄必須與設定精靈中顯示的記錄完全相符。一旦我們在你的網域 DNS 設定中偵測到這些記錄，編輯 網域設定頁面上的DKIM 索引標籤圖示就會變為綠色。接著，我們會通知你，並開始為你自訂網域的外寄電子郵件進行 DKIM 簽署，就像我們對其他 Proton Mail 位址所做的一樣。

DKIM 檢查失敗時該怎麼辦

DKIM 檢查失敗可能有以下三個原因：

1. 你在網域的 DNS 設定中輸入了不正確的 cname 值。

如果你是從我們的編輯網域設定頁面複製並貼上這些值，就不太可能出錯，但這仍然值得檢查。前往 設定 -> 所有設定 -> 網域名稱 -> 按一下網域旁邊的「檢閱」按鈕 -> DKIM 索引標籤 以查看必要的值。

你加入網域 DNS 設定的 cname 記錄必須與設定精靈中顯示的記錄完全相符。

2. 某些註冊服務商不接受結尾帶有句點的 cname 值。

而其他註冊服務商則需要句點。如果你的註冊服務商不接受結尾帶有句點的 cname 記錄，請刪除每個 cname 值結尾的句點，然後再試一次。

3. 你有現有的 DKIM TXT 記錄必須刪除。

如果你之前使用 TXT 記錄為網域手動配置了 DKIM 金鑰輪替，則在輸入 cname 記錄之前，需要從 DNS 設定中移除此記錄。你需要使用 cname 記錄重新配置你的 DNS 設定，因為它們允許 Proton Mail 設定自動金鑰輪替，而你目前的 TXT 記錄則不支援。

一旦你刪除了此 TXT 記錄，就可以按照新使用者的說明進行操作。刪除 TXT 記錄後，DKIM 將停止簽署你的電子郵件。為了維持 DKIM 保護，你應該立即將你的 cname 主機名稱和值輸入至你的 DNS 設定中。

我們強烈建議目前使用手動 DKIM 金鑰輪替的所有人升級至新的 自動金鑰輪替系統。這不僅能免去你手動輪替金鑰的需要，如果你使用的是 1024 位元金鑰，它還會自動升級你的金鑰強度。