Как работает DKIM при отправке электронной почты с нескольких источников/серверов?

Если я правильно понимаю DKIM, это по сути сервис с использованием открытого/закрытого ключа. Однако как это работает, если вы отправляете сообщения с нескольких серверов/источников? Например, у меня есть разделенный домен, с которого я отправляю некоторые сообщения (под тем же доменом) с хостинг-сервера Exchange и некоторые с аккаунта общего хостинга cPanel. Более того, я разрешил некоторым сообщениям отправляться третьими сторонами (сервисом биллинга, сервисом маркетинговой электронной почты и т. д.), чтобы они могли отправлять от моего домена. Еще хуже то, что некоторые из этих сервисов даже не предоставляют поддержку DKIM. Мои записи SPF правильные, но я также хочу настроить DKIM (поскольку в данный момент Google помечает многие мои электронные письма как спам, и, очевидно, требуется включить DKIM, чтобы вещи начали работать плавно с их стороны). Буду признателен за любую помощь. Спасибо!

П.С. Если я смогу включить DKIM на некоторых серверах, которые я использую, приведет ли это к тому, что сообщения, отправленные без DKIM-подписей, будут отмечены? Например, всегда ли входящие почтовые серверы будут запрашивать мой домен для получения открытого ключа DKIM, и если они не найдут DKIM-подпись в заголовке, то электронная почта будет потенциально отмечена или отклонена?

Объяснение

Цель DKIM состоит в том, чтобы подписывать заголовки и тело сообщения, позволяя проверить происхождение сообщения и то, что оно не было изменено. Лучшая репутация в некоторых фильтрах спама — это всего лишь побочный продукт, а не основная причина внедрения DKIM.

Для разрешения подписания DKIM для одного и того же домена с нескольких систем без обмена закрытыми ключами DKIM использует селекторы (RFC 5376, 3.1): заголовок подписи имеет тег s=someselector, который используется в запросе DNS для открытого ключа, someselector._domainkey.example.com. TXT.

• Поскольку селектор может быть любым, он позволяет добавлять подписи на нескольких сервисах, если они не используют пересекающиеся названия селекторов. Некоторые сервисы имеют плохие реализации, использующие фиксированные имена селекторов: например, Microsoft 365 всегда использует selector1 и selector2, в то время как G Suite позволяет вам изменять селектор и по умолчанию использовать google.

• Использование селекторов имеет недостаток: слабость DKIM заключается в том, что его можно использовать только для валидации сообщений, которые были подписаны, но он сам по себе не имеет метода, чтобы определить, должны ли сообщения быть подписаны или нет: если почтовый сервер получает почту без подписи, он не может проверить, есть ли у DNS ключи DKIM, потому что он не знает адреса. С этой точки зрения, также вполне приемлемо подписывать сообщения из некоторых источников, но оставлять некоторые сообщения без подписей, что и было вашим вопросом.

DMARC — это технология, которую вы можете использовать, чтобы указать, что сообщения должны быть либо подписаны заголовком DKIM с выравниванием, либо проходить SPF с выравненным отправителем конверта. Это также можно использовать для получения информации о том, проходят ли сообщения, отправленные с вашего домена как адрес From, DMARC или нет, и соответствуют ли они SPF, DKIM или обеим.

Хотя ответ yagmoth555 может быть одним из решений вашей проблемы и очень подходящей альтернативой, это не типичное решение. Более важно, из-за описанных выше причин, нет необходимости следовать этому пути, чтобы начать внедрение DKIM.

Предложения

• Включите подписывание DKIM для тех сервисов, которые вы можете, и не забудьте добавить записи DNS.
• Не беспокойтесь о сервисах, которые на данный момент не имеют возможности подписания DKIM. Вы можете начать предлагать или требовать, чтобы они вскоре добавили эту функциональность. Если они получат такую обратную связь от клиентов, они могут понять, что их конкуренты могут опередить их.
• Добавьте политику DMARC с p=none и rua=mailto:[email protected], чтобы получать отчеты о том, как обстоят дела. Это позволяет вам спокойно настраивать системы: вы можете продолжать реализации DKIM, переключаться на системы, которые поддерживают DKIM, или начинать отправлять несовместимые сообщения с другим доменом From. Как только все ваши законные письма начнут проходить тесты DMARC, вы можете перейти на более строгую политику DMARC.

Вы можете использовать облачный сервис, который позволит вам использовать его для отправки электронной почты для всех ваших сервисов (умный хост).

Вы включаете DKIM в этой центральной точке.

Я настраивал это для клиента. Затем вы позволяете всем вашим другим провайдерам отправлять через него. В моем случае я использовал безопасность электронной почты TrendMicro, которая позволяет выполнять входящее сканирование, а также исходящее сканирование и подпись DKIM.