配置 CNAME 记录时遇到的问题

域名密钥识别邮件 (DKIM)是一种电子邮件身份验证方法，通过加密方式验证电子邮件由受信任的服务器发送，且未被篡改。

本文将介绍什么是 DKIM 和 CNAME，并说明当您尝试在 Proton Mail（新窗口） 中向自定义域名添加 CNAME 记录时，如果 DKIM 检查失败，应遵循哪些步骤。

DKIM 是如何工作的？

当服务器为您的域名发送电子邮件时，它会使用私钥（只有受信任的服务器知道该密钥）计算电子邮件内容的加密哈希，并将其作为 DKIM 签名添加到电子邮件标题中。

接收服务器会通过在您域名的 DNS 记录中查找相应的公钥来验证电子邮件内容，解密已加密的哈希，并根据其接收到的电子邮件内容计算新的哈希，以查看解密后的哈希是否与新哈希匹配。如果匹配，则电子邮件未被更改，DKIM 验证通过。否则，DKIM 验证失败，该电子邮件将被视为可疑邮件。

什么是 CNAME 记录？

我们建议 Proton Mail 添加三条防欺骗记录：SPF、DKIM 和 DMARC。我们使用 CNAME 记录来管理自动 DKIM 密钥轮换，这是一种公认的安全最佳实践。这可确保始终有一个启用的密钥用于提供不间断的服务，同时其他密钥会定期自动停用并重新创建，以提高安全性。

有关此主题的更详细说明，请参阅 DKIM 密钥管理介绍。

您添加到域名 DNS 设置中的 CNAME 记录必须与设置向导中显示的记录完全匹配。一旦我们在您域名的 DNS 设置中检测到这些记录，编辑域名设置页面上的 DKIM 标签页图标将变为绿色。随后我们会通知您，并开始使用 DKIM 对来自您自定义域名的待发电子邮件进行签名，就像我们对其他 Proton Mail 地址所做的一样。

如果 DKIM 检查失败该怎么办

DKIM 检查失败可能有以下三种原因：

1. 您在域名的 DNS 设置中输入了错误的 CNAME 值。

如果您是从我们的更改域名设置页面复制并粘贴这些值，出现这种情况的可能性不大，但仍值得检查。前往设置 -> 所有设置 -> 域名 -> 点击域名旁边的审核按钮 -> DKIM 标签页查看所需的值。

您添加到域名 DNS 设置中的 CNAME 记录必须与设置向导中显示的记录完全匹配。

2. 某些注册商不接受以句点结尾的 CNAME 值。

而另一些注册商则要求保留句点。如果您的注册商不接受以句点结尾的 CNAME 记录，请将每个 CNAME 值末尾的句点删除，然后重试。

3. 您已有以 TXT 记录形式存在的 DKIM，必须将其删除。

如果您之前已使用 TXT 记录为域名配置了手动 DKIM 密钥轮换，则在输入 CNAME 记录之前，需要从 DNS 设置中移除此记录。您需要使用 CNAME 记录重新配置 DNS 设置，因为 CNAME 记录允许 Proton Mail 设置自动密钥轮换，而您当前的 TXT 记录则不支持。

删除此 TXT 记录后，您可以按照新用户的说明进行操作。删除 TXT 记录后，DKIM 将停止对您的电子邮件进行签名。为保持 DKIM 保护，您应立即将 CNAME 主机名和值输入到 DNS 设置中。

我们强烈建议所有目前使用手动 DKIM 密钥轮换的用户升级到新的 自动密钥轮换系统。这不仅可以让您免去手动轮换密钥的麻烦，如果您使用的是 1024 位密钥，还将自动升级您的密钥强度。