DKIM sorgulama: anahtar ve seçici kontrolüDKIM kaydı kontrolü
DKIM imza anahtarınızı DNS'te bulur, türünü ve uzunluğunu okur; zayıf, test modunda kalmış ya da iptal edilmiş anahtarları işaretler.
Bu sorgu neye bakar
- Yazdığınız seçici ya da 44 yaygın seçici
- Anahtar türü ve uzunluğu (RSA / Ed25519)
- Test bayrağı (t=y) ve iptal edilmiş anahtar
- Sağlayıcıya CNAME ile devir
- İzin verilen özet algoritması (h=)
Neyi okur, neyi yapmaz
Yalnızca DNS okunur: yazdığınız seçicide ya da yaygın seçicilerde TXT ve CNAME kaydı. DNS seçicileri listelemeye izin vermediği için seçiciyi yazmazsanız yalnızca bilinen adlar denenir. E-posta gönderilmez.
DKIM nedir?
DKIM (DomainKeys Identified Mail), gönderdiğiniz her e-postaya şifreli bir imza ekler. Alıcı sunucu imzayı, DNS'te seçici._domainkey.alanadiniz adresinde yayımladığınız açık anahtarla doğrular. İmza tutarsa e-postanın yolda değiştirilmediği ve gerçekten sizin sunucunuzdan geldiği anlaşılır. Anahtar en az 1024 bit olmalıdır; 2048 bit önerilir.
Yalnızca DNS okunur: yazdığınız seçicide ya da yaygın seçicilerde TXT ve CNAME kaydı. DNS seçicileri listelemeye izin vermediği için seçiciyi yazmazsanız yalnızca bilinen adlar denenir. E-posta gönderilmez.
Sonuç nasıl okunur
- Seçici (selector)
- Aynı alan adında birden çok anahtar olabilir; her birinin adı seçicidir. Gönderdiğiniz bir e-postanın başlıklarında DKIM-Signature satırındaki s= değeri seçicidir, d= değeri alan adıdır.
- RSA 2048 / 1024
- 2048 bit RSA önerilen uzunluktur. 1024 bit hâlâ kabul edilir ama sağlayıcılar 2048'e geçmeyi önerir. 1024'ün altı RFC 8301'e göre doğrulanmaz.
- Ed25519
- Daha kısa ve güçlü yeni anahtar türü (RFC 8463). Henüz her alıcı doğrulamadığı için RSA anahtarıyla birlikte yayımlanır.
- CNAME →
- Microsoft 365, SendGrid gibi sağlayıcılar anahtarı kendi DNS'lerinde tutar; sizin kaydınız oraya işaret eder ve anahtarı sağlayıcı döndürür.
Sık görülen sorunlar ve düzeltmeleri
Sorgunun işaretleyebileceği her durum, neden önemli olduğu ve DNS'te ne değiştirmeniz gerektiğiyle.
Yaygın seçicilerde anahtar bulunamadı
Neden önemli: Bu, DKIM'in olmadığı anlamına gelmez: sağlayıcınız farklı bir seçici adı kullanıyor olabilir. Ama hiç anahtar yoksa e-postalarınız imzasız gidiyor demektir.
Ne yapmalı: Kendi gönderdiğiniz bir e-postanın başlıklarını açın, DKIM-Signature satırındaki s= değerini seçici kutusuna yazıp yeniden sorgulayın. Satır yoksa sağlayıcınızın panelinden DKIM'i açın.
Seçicide DKIM kaydı yok
Neden önemli: Bu seçiciyle imzalanan e-postalar doğrulanamaz; DMARC açısından DKIM geçmez.
Ne yapmalı: E-posta sağlayıcınızın panelinden DKIM'i açın ve verdiği TXT ya da CNAME kaydını tam bu adla ekleyin: …._domainkey. Yazımı ve sonundaki alan adını kontrol edin.
selector1._domainkey.ornek.com. CNAME selector1-ornek-com._domainkey.ornek.onmicrosoft.com.1024 bitten kısa anahtar
Neden önemli: RFC 8301'e göre doğrulayıcılar 1024 bitten kısa anahtarla atılmış imzayı geçerli saymamalıdır. Kısa anahtar kırılabilir.
Ne yapmalı: En az 2048 bit yeni anahtar üretin, yeni bir seçiciyle yayımlayın, imzalamayı ona geçirin ve eski anahtarı p= boş bırakarak iptal edin.
1024 bit RSA anahtarı
Neden önemli: 1024 bit hâlâ kabul ediliyor ama Google ve diğer büyük sağlayıcılar 2048 bit öneriyor.
Ne yapmalı: Sağlayıcınız destekliyorsa 2048 bit anahtar üretin ve yeni seçiciye geçin. Uzun anahtar tek TXT parçasına sığmaz; DNS panelleri bunu genellikle kendisi böler.
Test modu açık
Neden önemli: t=y, alıcılara bu anahtarı denemede saymalarını söyler; bazı alıcılar imza hatasını yok sayar.
Ne yapmalı: Doğrulama sorunsuz çalışıyorsa kayıttan t=y etiketini kaldırın.
Yalnızca SHA-1
Neden önemli: RFC 8301 rsa-sha1 imzalarının kullanılmamasını ve doğrulanmamasını söyler.
Ne yapmalı: h= etiketini kaldırın ya da sha256 yazın; sağlayıcınızda imza algoritmasını rsa-sha256 yapın.
Sık sorulan sorular
- DKIM seçicimi nasıl bulurum?
- Alan adınızdan gönderilmiş bir e-postayı açın ve özgün başlıkları görüntüleyin (Gmail'de 'Orijinali göster', Outlook'ta 'İleti ayrıntıları'). DKIM-Signature satırındaki s= değeri seçici, d= değeri imzalayan alan adıdır.
- DKIM anahtarı 1024 mü 2048 bit mi olmalı?
- 2048 bit RSA önerilir. 1024 bit hâlâ kabul ediliyor ama yeni kurulumda kullanmayın. Bazı DNS panelleri 255 karakterden uzun TXT değerini kabul etmez; 2048 bitlik anahtarı panel otomatik bölmüyorsa iki tırnaklı parçaya ayırın.
- Neden DKIM kaydımı bulamıyorsunuz?
- DNS, bir alan adındaki seçicileri listelemeye izin vermez; seçiciyi bilmeden yalnızca tahmin edilebilir. 44 yaygın seçiciyi deneriz. Sağlayıcınız farklı bir ad kullanıyorsa seçici kutusuna onu yazın.
- DKIM tek başına sahte e-postayı durdurur mu?
- Hayır. DKIM imzanın geçerli olduğunu söyler ama imzasız gelen sahte e-postaya ne yapılacağını DMARC belirler. DKIM'i DMARC p=quarantine ya da p=reject ile birlikte kullanın.
Birincil kaynaklar
Diğer hızlı sorgular
Her biri tek bir kayda ya da tek bir soruya odaklanır; hesap gerekmez.
SPF kaydı kontrolü
Alan adınızın SPF kaydını include zinciriyle birlikte açar, kaç DNS sorgusu harcadığını sayar ve e-postalarınızı spama düşürecek hataları gösterir.
DMARC kaydı kontrolü
DMARC kaydınızı etiket etiket açar: sahte e-postaya ne yapıldığını, raporların nereye gittiğini ve dış rapor adreslerinin yetkilendirilip yetkilendirilmediğini gösterir.
MX kaydı sorgulama
Alan adınıza gelen e-postanın hangi sunuculara teslim edildiğini öncelik sırasıyla gösterir; her sunucunun adresini, ters DNS kaydını ve sağlayıcısını okur.
Site çöktü mü?
Siteyi iki ayrı konumdan açmayı dener ve sorunun herkes için mi, yoksa yalnızca sizin bağlantınızda mı olduğunu söyler.
SSL bitiş tarihi sorgulama
Sertifikanızın ne zaman dolduğunu, kaç gün kaldığını ve kimin düzenlediğini gösterir; ana alan adı ile www'yi ayrı ayrı kontrol eder ve takvime hatırlatma ekler.
Tüm kontrolleri tek raporda görmek için:E-posta güvenliği kontrolü