Özel bir e-posta alan adı için DKIM'i nasıl kurarım?

DKIM nasıl çalışır?

DKIM, gönderen sunucunun her iletiyi bir özel anahtarla imzalamasına ve herhangi bir alıcının imzayı DNS'te yayımlanan bir genel anahtarla kontrol etmesine izin verir. İmza bir DKIM-Signature başlığında durur. İmzalayan alan adını (d=), selector'ü (s=), imzalanan başlıkları (h=), gövdenin bir karmasını (bh=) ve imzanın kendisini (b=) taşır. Bir İnternet Standardı olan RFC 6376 bu etiketleri tanımlar.

Alıcı DNS adını selector'den ve alan adından oluşturur: selector._domainkey.domain. fm1 selector'ü ve example.com alan adı için fm1._domainkey.example.com sorgular. Yanıt, v=DKIM1, k=rsa etiketlerini ve p= ardından base64 biçiminde genel anahtarı içeren bir kayıttır. Boş bir p= anahtarın iptal edildiği anlamına gelir.

Geçerli bir imza iki şeyi kanıtlar: ileti, o alan adının özel anahtarına sahip bir sistem tarafından imzalanmıştır ve imzalanan kısımlar aktarım sırasında değişmemiştir. İletinin istenen bir ileti olduğunu söylemez. Bu yargı, SPF, DKIM ve DMARC karşılaştırması sayfasında ele alınan DMARC'a aittir.

Sağlayıcılar neden bir anahtar yerine CNAME kayıtları ister?

Bir CNAME anahtarı sağlayıcıya devreder: genel anahtar sağlayıcının adresinde durur ve sağlayıcı sizden DNS'i düzenlemenizi istemeden onu değiştirebilir. Proton Mail, Fastmail ve Mailbox.org'un üçü de bu kalıbı kullanır. Kayıtları, selector adınızdan gerçek anahtar kaydını tutan, kontrol ettikleri bir ana bilgisayara giden CNAME'lerdir.

Yararı anahtar döndürmedir. RFC 6376, bir selector'ü yeniden kullanmak yerine yeni anahtarları yeni selector'ler altında yayımlamayı önerir ve Proton Mail üç selector yayımlar (protonmail, protonmail2, protonmail3); bu, sağlayıcıya bir anahtardan diğerine geçmek için alan tanır. Sizin için bedeli güvendir: yanıt vermeye devam etmesi için sağlayıcının ana bilgisayarına güvenirsiniz.

Postelva'nın 12 Kasım 2026 tarihli karşılaştırmasına göre, DKIM kayıtları yardım sayfalarında okunan üç sağlayıcı 3, 4 ve 3 CNAME kaydı, toplamda 10 kayıt gerektirir ve hiçbiri bir TXT anahtarı istemez.

DKIM anahtarı ne kadar uzun olmalı?

2048 bitlik bir RSA anahtarı kullanın; 1024 bit, RFC 6376'nın uzun ömürlü anahtarlar için izin verdiği minimumdur. Standart, imzalayanların en az 1024 bitlik RSA anahtarları kullanması gerektiğini ve doğrulayanların 512 ila 2048 bitlik anahtarları kontrol edebilmesi gerektiğini söyler. Google'ın gönderen yönergeleri en az 1024 bit ister ve 2048'i önerir. Yukarıdaki CNAME kurulumunda olduğu gibi anahtarı sağlayıcı oluşturduğunda, uzunluk onun seçimidir ve sizin için yapılandırılacak bir şey kalmaz.

Boyutu kendiniz seçmeniz gerektiğinde 2048 seçin. 2048 bitlik bir anahtar DNS'te tek bir 255 karakterlik dizeden uzundur, bu yüzden TXT değeri birkaç dizeye bölünür; çoğu DNS düzenleyici bunu kendiliğinden yapar. Aynı düzenleyici sınırı, SPF kaydı nasıl oluşturulur sayfasında anlatılan SPF kaydı için de geçerlidir.

Bir alan adında birkaç sağlayıcı kullanabilir miyim?

Evet: her sağlayıcı kendi selector'üyle imzalar, bu yüzden DKIM kayıtları çakışmaz. Nedeni selector'dür. Proton protonmail, protonmail2 ve protonmail3 kullanır; Fastmail fm1, fm2 ve fm3 kullanır; Mailbox.org MBO0001'den MBO0004'e kadar kullanır. Sizin adınıza gönderen bir bülten aracı kendi selector'ünü ekler.

SPF farklıdır: tüm göndericiler için 10 sorgu sınırıyla tek bir kayıt tutar. Bir sağlayıcıdan kalıcı olarak ayrıldığınızda, yenisinin imzaladığını doğruladıktan sonra DKIM kayıtlarını kaldırın; böylece terk edilmiş bir anahtar eski hesaba erişim kazanan biri tarafından kullanılamaz. Bir taşımanın tam sırası için postayı kaybetmeden e-postayı yeni bir sağlayıcıya taşıma sayfasına bakın.

DKIM'in çalıştığını nasıl kontrol ederim?

Selector'ü dig ile sorgulayın, ardından gerçek bir ileti gönderin. dig CNAME fm1._domainkey.example.com +short komutu sağlayıcının hedefini yazdırmalıdır. Bir TXT anahtarı için bunun yerine TXT sorun. Belirleyici test bir iletidir: alınan kopyanın başlıkları, alıcı sunucunun dkim=pass kaydedip kaydetmediğini gösterir.

Kayıt doğruysa ve kontrol yine de başarısız oluyorsa, olağan nedenler yanlış bir ana bilgisayar adı (alan adının DNS düzenleyici tarafından iki kez eklenmesi), eski bir önbellek ya da sağlayıcı imzalamayı etkinleştirmeden önce gönderilmiş bir iletidir. Sonraki rehber, MX, SPF, DKIM ve DMARC kayıtları nasıl kontrol edilir, komutları listeler. Fastmail adımlarının tamamı Fastmail özel alan adı rehberi içindedir.