DKIM-nøglerotation uden at knække din mail
En lækket privat DKIM-nøgle lader en angriber signere perfekt godkendt mail som dit domæne — og nøgler lækker via kompromitterede servere, opsagte leverandører og glemte testopsætninger. Rotation begrænser risikoen. Gjort med to selectors er det en ikke-begivenhed.
Kadence: hvad er faktisk rimeligt
Store udbydere roterer kvartalsvis; M3AAWG anbefaler mindst hver 6. måned. For en SMV på hostede udbydere (Google, Microsoft, ESP'er) er en pragmatisk politik: Rotér nøgler, du selv hoster, hver 6.–12. måned; rotér øjeblikkeligt ved mistanke om kompromittering, eller når en medarbejder/leverandør med nøgleadgang stopper; og lad administrerede udbydere rotere deres egne nøgler (Microsoft 365 gør det automatisk; Google lader dig regenerere).
Vigtigere end kalenderen: Kend dit nøgleinventar. De fleste virksomheder kan ikke opremse, hvilke selectors der publicerer nøgler for deres domæne — revidér det først (vores gratis DKIM Inspector scanner de almindelige).
Proceduren uden nedetid
DKIM-selectors gør rotation sikker, fordi gammel og ny nøgle kan sameksistere: 1) Generér det nye 2048-bit nøglepar. 2) Publicér den nye offentlige nøgle under en NY selector (mail2026a._domainkey…) ved siden af den gamle. 3) Vent på DNS-propagering (én TTL). 4) Skift din signering til den nye selector. 5) Lad den gamle record stå mindst en uge — mail signeret før skiftet ligger stadig i køer og videresendelser. 6) Tilbagekald derefter den gamle selector ved at publicere en tom p= (bedre end sletning: en eksplicit tilbagekaldelse).
Fejltilstanden, du skal undgå, er at udskifte nøglen under SAMME selector: Hver besked signeret i propageringsvinduet fejler verifikation hos modtagere med den gamle record i cache. MonitorBase overvåger dine selectors dagligt og advarer, hvis en nøgle forsvinder, svækkes eller går i testtilstand — inklusive fejl midt i en rotation.
Gratis værktøjer, der hjælper
- DKIM Inspector: Find publicerede DKIM-nøgler på tværs af almindelige selectors og analysér nøglestyrke.
- DKIM Validator: Indsæt en rå e-mail og verificér dens DKIM-signatur kryptografisk.