What Is DKIM (DomainKeys Identified Mail)? How It Secures Your Email

Gelen kutunuza bankanızdan, yazılım tedarikçinizden ya da genel müdürünüzden geldiğini iddia eden bir e-posta ulaştığında, alıcı sunucu bunun gerçek olduğunu nasıl anlar? SPF, gönderen IP'nin alan adı sahibi tarafından yetkilendirilip yetkilendirilmediğini denetler. Ancak SPF, e-posta yönlendirildiğinde işlevsiz hale gelir ve yalnızca zarf düzeyini kapsar; mesajın kendisini değil. DomainKeys Identified Mail, bilinen adıyla DKIM, farklı ve daha sağlam bir yaklaşım benimser: bir e-postanın belirli bölümlerinin —başlıklar ve gövde— belirli bir alan adının sahibi tarafından yetkilendirildiğini ve iletim sırasında değiştirilmediğini kriptografik imzalarla kanıtlar.

DKIM, SPF ve DMARC ile birlikte modern e-posta kimlik doğrulamasının üç temel direğinden biridir. Nasıl çalıştığını, hata modlarının ne anlama geldiğini ve DMARC ile nasıl etkileşime girdiğini anlamak, alan adını kimlik sahteciliğinden ve dolandırıcılıktan korumak isteyen her kuruluş için vazgeçilmezdir.

DKIM Nedir?

DomainKeys Identified Mail, RFC 6376'da tanımlanan bir e-posta kimlik doğrulama standardıdır. Gönderen posta sunucusunun bir e-postaya kriptografik imza eklemesine olanak tanır. İmza; göndericide tutulan özel anahtar kullanılarak seçili başlıklar ve mesaj gövdesi üzerinde hesaplanır. Buna karşılık gelen genel anahtar, özel bir alt alan adı altında DNS'te yayımlanır. Alıcı posta sunucusu e-postayı aldığında genel anahtarı alır ve imzayı doğrulamak için kullanır.

İmza geçerliyse alıcı sunucu iki şeyi bilir:

1. E-posta, imzalayan alan adının özel anahtarını kontrol eden biri tarafından imzalanmış.
2. E-postanın imzalanan bölümleri —başlıklar ve gövde— imzalanmadan bu yana değiştirilmemiş.

En önemlisi, DKIM SPF gibi zarf düzeyinde değil, mesaj düzeyinde çalışır. Bu sayede e-posta yönlendirmesinde hayatta kalır: bir yönlendirici mesajı ilettiğinde DKIM imzası başlıklarda kalmaya devam eder ve son alıcının posta sunucusu tarafından hâlâ doğrulanabilir. Bu, SPF/DKIM çiftinin dolaylı posta akışlarında DKIM'i daha dayanıklı kılar.

DKIM Nasıl Çalışır? — İmzalama ve Doğrulama

DKIM sürecinin iki tarafı vardır: gönderen sunucuda imzalama ve alıcı sunucuda doğrulama.

İmzalama (giden):

1. Gönderen posta sunucusu imzaya dahil edilecek başlıkları seçer —genellikle From, Subject, Date, To ve diğerleri— ve bunları tanımlı bir algoritmaya göre (simple veya relaxed) normalleştirir.
2. Sunucu, mesaj gövdesinin bir karma değerini hesaplar ve bunu imzaya dahil eder.
3. Birleştirilmiş verileri, alan adı için adlandırılmış bir seçiciye ilişkilendirilmiş özel anahtarla imzalar.
4. Oluşan imza, e-postaya bir DKIM-Signature başlığı olarak eklenir.

Doğrulama (gelen):

1. Alıcı sunucu DKIM-Signature başlığını okur ve imzalayan alan adını (d=) ile seçiciyi (s=) çıkarır.
2. Genel anahtarı almak için <selector>._domainkey.<domain> adresinde bir DNS TXT sorgusu gerçekleştirir.
3. İmzada belirtildiği şekilde başlıkların ve gövdenin karma değerini yeniden hesaplar ve imzayı genel anahtarla doğrular.
4. İmza eşleşirse ve gövde karma değeri doğruysa sonuç pass olur. Herhangi bir uyuşmazlık —değiştirilmiş başlıklar, değiştirilmiş gövde, yanlış anahtar— fail veya başka bir pass olmayan sonuçla sonuçlanır.

DKIM-Signature Başlığının Anatomisi

Bir DKIM-Signature başlığı şu şekilde görünür:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=mail2024;
  h=from:to:subject:date:message-id; bh=47DEQpj8HBSa+/TImW+5JCeuQeRkm5NMpJWZG3hSuFU=;
  b=abc123...base64encodedSignature...==

Temel etiketler şunlardır:

Genel anahtara ait DNS kaydı, <selector>._domainkey.<domain> adresinde bir TXT kaydı olarak yayımlanır, örneğin:

mail2024._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSq..."

DKIM Sonuç Türleri: pass, fail, permerror, temperror ve daha fazlası

DKIM doğrulama süreci altı farklı sonuç üretebilir. Her birini anlamak önemlidir; zira DMARC açısından farklı sonuçlar doğururlar:

Yalnızca pass sonucu DMARC DKIM'i karşılayabilir — ve yalnızca imzalayan alan adı da Header-From adresiyle hizalıysa.

DKIM ve DMARC — Hizalama Neden Temel Unsurdur?

DKIM imzasının başarıyla doğrulanması DMARC için gerekli; ancak yeterli değildir. DMARC bir gereksinim daha ekler: hizalama. DKIM-Signature'ın d= etiketindeki imzalayan alan adı, alıcılarınızın e-posta istemcilerinde gördükleri görünür Header-From adresiyle hizalı olmalıdır.

DMARC kaydınızdaki adkim etiketi aracılığıyla yapılandırılan iki hizalama modu mevcuttur:

• Esnek hizalama (adkim=r, varsayılan): kurumsal alan adları eşleşmelidir. mail.example.com'dan gelen bir imza, From adresindeki example.com ile hizalıdır.
• Katı hizalama (adkim=s): alan adları birebir aynı olmalıdır. mail.example.com, example.com ile hizalı değildir.

Bu ayrım pratikte önem taşır. Pek çok e-posta hizmet sağlayıcısı, giden mesajları sizin adınıza imzalarken d= etiketine sizin alan adınız yerine kendi alan adını koyar. DKIM imzası doğrulanır — mesaj üzerinde oynama yapılmamıştır — ancak imzalayan alan adı mailchimp.com ya da sendgrid.net'tir, yourdomain.com değildir. Bu, kriptografik olarak geçerli bir imzaya rağmen DMARC DKIM'in başarısız olması anlamına gelir.

Çözüm, her ESP'de kendi alan adınızla DKIM imzalamasını yapılandırmaktır. Bu genellikle bir anahtar çifti oluşturmayı, genel anahtarı DNS'te yayımlamayı ve ESP'yi sizin adınıza mesaj imzalarken karşılık gelen özel anahtarı kullanmaya yetkilendirmeyi kapsar.

DMARCFlow, DMARC Raporlarında DKIM Hizalamasını Nasıl Açıklar?

DMARC toplu raporları, her gönderim kaynağından gelen her mesaj grubu için ham DKIM kimlik doğrulama sonuçlarını —alan adı, seçici ve sonuç— içerir. DMARCFlow bu verileri kayıt kayıt analiz eder ve her sonucu dört net DKIM içgörü senaryosundan biriyle eşleştirir:

Her kayıt için DMARCFlow aynı zamanda bireysel ham DKIM sonuçlarını —imzalayan alan adı, seçici ve ham sonuç (pass / fail / permerror / temperror / neutral / none)— her sonucun ne anlama geldiğini ve DMARC'a katkıda bulunup bulunamayacağını açıklayan anlaşılır bir dille birlikte gösterir. Bu, opak XML verilerini eyleme geçirilebilir zekâya dönüştürür.

DKIM ve SPF — Rakip Değil, Tamamlayıcı

SPF ve DKIM birbiriyle ilişkili ama farklı sorunları çözer; zayıflıkları birbirini tamamlar:

DMARC yalnızca SPF veya DKIM'den birinin geçmesini ve hizalı olmasını gerektirir. Pratikte her ikisini birden yapılandırmak yedeklilik sağlar: SPF bir yönlendiricide bozulursa DKIM yine de DMARC'ı karşılayabilir. DKIM bir ESP'de kurulmamışsa SPF hizalaması durumu kurtarabilir. En dayanıklı yapılandırma, her ikisinin de düzgün şekilde hizalandığı konfigürasyondur.

Yaygın DKIM Sorunları ve Çözümleri

• Hiç DKIM imzası yok. Pek çok kuruluş SPF ekliyor; ancak DKIM imzalamasını hiç yapılandırmıyor; böylece DMARC için tamamen SPF'ye bağımlı kalıyor. DKIM'i desteklemeyen ya da DKIM'in etkinleştirilmediği ESP'ler, DKIM sonucu olmayan mesajlar üretir. Çözüm: her gönderim platformunda DKIM imzalamayı etkinleştirin ve karşılık gelen genel anahtarı DNS'te yayımlayın.
• ESP'nin alan adıyla imzalama, sizinkiyle değil. "Pass ama hizalı değil" durumunun en yaygın nedeni: ESP varsayılan olarak kendi alan adıyla imzalar. Çözüm: ESP'de özel bir DKIM kimliği yapılandırın. Bu genellikle ESP'nin kontrol panelinde bir anahtar çifti oluşturmayı, sağlanan seçici için bir DNS TXT kaydı eklemeyi ve alan adı hizalı imzalamayı etkinleştirmeyi gerektirir.
• Gövde değişikliğinin imzayı bozması. Posta listeleri, yönlendirme hizmetleri veya altbilgi ekleyen, konu satırlarını değiştiren ya da başlıkları düzenleyen güvenlik ağ geçitleri DKIM imzalarını geçersiz kılabilir. relaxed normalleştirme (c=relaxed/relaxed) küçük boşluk değişikliklerine tolerans gösterir; ancak yapısal değişikliklere karşı koyamaz. h= alanında yalnızca en kararlı başlıkları kullanmayı ya da ARC (Authenticated Received Chain) kullanmak üzere liste yöneticileriyle koordinasyon sağlamayı düşünün.
• Süresi dolmuş veya iptal edilmiş anahtarlar. Özel bir anahtar ele geçirilirse ya da TTL süresi dolmadan DNS genel anahtar kaydını iptal ederseniz, iletim halindeki mesajlar DKIM'de başarısız olabilir. Anahtar rotasyonunu dikkatli planlayın (aşağıya bakın) ve eski anahtar kayıtlarını, eski anahtarla imzalanmış mesajlar hâlâ iletimde olabilecek süre boyunca aktif tutun.
• Her mesajda permerror. Kalıcı hata genellikle DKIM-Signature başlığının hatalı biçimlendirilmiş olduğu, zorunlu etiketlerin eksik olduğu ya da DNS genel anahtar kaydının geçersiz veya eksik olduğu anlamına gelir. <selector>._domainkey.<domain> adresindeki kaydı bir DNS sorgulama aracıyla doğrulayın ve ESP'nin yayımladığıyla karşılaştırın.
• Aralıklı temperror. Anahtar alımı sırasındaki geçici DNS hataları temperror'a neden olur. Bunlar kriptografik hatalar değildir ve yeniden denemede çözülmesi gerekir. Kalıcı hale gelirlerse kayıt şirketinizdeki DNS sağlığını araştırın ya da ikincil bir DNS sağlayıcısı kullanmayı düşünün.
• DNS'te yanlış seçici. DKIM-Signature başlığındaki seçici, yayımlanmış hiçbir DNS kaydıyla eşleşmiyorsa doğrulama başarısız olur. İmzalama platformunuzda yapılandırılan seçici adının, anahtarı yayımladığınız alt alan adıyla tam olarak örtüştüğünden emin olun.

DKIM Anahtar Rotasyonu — Neden ve Nasıl?

DKIM özel anahtarları uzun ömürlü sırlardır. SPF kayıtlarının aksine genel olan özel anahtarın gizli tutulması şarttır. Sızarsa ya da ele geçirilirse bir saldırgan alan adınızın kimliğiyle mesaj imzalayabilir. Anahtar rotasyonu —eski anahtar çiftlerinin periyodik olarak yenileriyle değiştirilmesi— ele geçirilen bir anahtarın hasar penceresini sınırlar.

En iyi uygulama rotasyonu şu şekilde gerçekleştirilir:

1. Yeni bir seçici için yeni bir anahtar çifti oluşturun (örn. mail2026).
2. Yeni seçici alt alan adındaki DNS'te yeni genel anahtarı yayımlayın.
3. TTL'ye bağlı olarak genellikle birkaç dakika ile bir saat arasında süren DNS yayılımını bekleyin.
4. Yeni özel anahtarı ve seçiciyi kullanmak üzere imzalama platformunuzu değiştirin.
5. Eski anahtarla imzalanmış iletim halindeki mesajların hâlâ başarıyla doğrulanabilmesini sağlamak için eski DNS kaydını en az 48–72 saat (veya mesajların gecikebileceği durumlarda daha uzun) boyunca aktif tutun.
6. Bekleme süresinin ardından eski DNS kaydını kaldırın.

Pek çok kuruluş yıllık rotasyon yapar. Güvenliğe daha fazla önem veren kuruluşlar 3–6 ayda bir rotasyon yapar. Anahtarın ele geçirildiğinden şüpheleniyorsanız yukarıdaki adımları izleyerek zaman çizelgesini sıkıştırarak derhal rotasyon yapın.

DMARCFlow DKIM Karmaşıklığını Nasıl Netliğe Dönüştürür?

DKIM'i birden fazla ESP, alan adı ve seçici genelinde yönetmek —hataları izlerken, hizalamayı takip ederken ve anahtarları ne zaman döndüreceğinizi bilirken— ciddi bir operasyonel yük oluşturur. DMARCFlow bu karmaşıklığı absorbe etmek ve DKIM durumunuza ilişkin net, eyleme geçirilebilir bir görünüm sunmak üzere tasarlanmıştır.

DMARCFlow'un özellikle DKIM için sunduklarına bakarsak:

• Kayıt bazında DKIM içgörü analizi. Her DMARC toplu raporundaki her kayıt tek tek analiz edilir. Her kayıt için DMARCFlow tüm ham DKIM sonuçlarını (alan adı, seçici, sonuç) belirler, dört DMARC DKIM senaryosundan hangisinin geçerli olduğunu tespit eder ve sonucu anlaşılır bir dille açıklar. DMARC DKIM'i hangi imzalayan alan adının ve seçicinin karşıladığını — ya da neden başarısız olduğunu — tam olarak görebilirsiniz.
• Hizalama modu farkındalığı. DMARCFlow, gerçek DMARC politikanızdaki adkim etiketini okur ve her DKIM sonucunu doğru hizalama moduna — esnek veya katı — göre değerlendirir. Analiz her zaman gerçek yapılandırmanızı yansıtır, genel bir varsayımı değil.
• Birden fazla imza desteği. Bir e-posta birden fazla DKIM imzası taşıyabilir — örneğin biri alan adınızdan, biri ESP'den. DMARCFlow hepsini değerlendirir ve DMARC'ın gerektirdiği şey olan en az bir hizalı pass'ın sağlanıp sağlanmadığını doğru biçimde belirler.
• Kimlik doğrulama hatası analizi. DKIM hataları pek çok kayıtta göründüğünde DMARCFlow bunları gruplandırır, gönderim kaynağına göre hata oranlarını hesaplar ve en çok hata veren IP adreslerini öne çıkarır; böylece önce nereyi inceleyeceğinizi bilirsiniz.
• DKIM bileşeni ile güvenlik skoru. DMARCFlow, alan adınız için 100 üzerinden bir güvenlik skoru hesaplar. Döküm, DKIM durumunuzun SPF, politika uygulaması, kapsam ve raporlamanın yanı sıra genel skora nasıl katkıda bulunduğunu tam olarak gösterir. DKIM hizalaması olmayan bir alan adı yüksek bir skorun gerisinde kalır; döküm bunun nedenini söyler.
• Olgunluk düzeyi takibi. Herhangi bir DKIM hizalaması olmayan alan adları daha düşük olgunluk düzeylerinde sınırlıdır. DMARCFlow'un olgunluk modeli, ilerlemeyi neyin engellediğini ve DKIM hizalamasının yapılandırılmasının neyi açacağını tam olarak gösterir.
• Öneri motoru. DKIM, belirli bir ESP'deki hizalanmamış bir imzalayan alan adı nedeniyle başarısız oluyorsa DMARCFlow neyi düzeltmeniz ve nasıl yapmanız gerektiğini söyler; söz konusu platform için özel seçici yayımlama rehberliği dahil.
• GDPR uyumlu, AB'de barındırılmış. Tüm rapor verileri yalnızca Avrupa Birliği içinde işlenir ve depolanır. Kişisel veriler saklanmaz. GDPR kapsamındaki kuruluşlar için zorunluluktur.

Sonuç

DKIM güçlü ve dayanıklı bir e-posta kimlik doğrulama mekanizmasıdır. Giden mesajlarınıza kriptografik bir imza ekleyerek e-postanın belirli bölümlerinin alan adınızın özel anahtar sahibi tarafından yetkilendirildiğini ve iletim sırasında değiştirilmediğini kanıtlar. SPF'nin aksine DKIM, e-posta yönlendirmesinde hayatta kalır; bu da posta listelerine, yönlendiricilere veya dolaylı gönderim yollarına dayanan kuruluşlar için vazgeçilmez kılar.

Ancak DMARC için DKIM pass'ı tek başına yeterli değildir. İmzalayan alan adının yapılandırılan hizalama modunuza göre Header-From adresiyle hizalı olması gerekmektedir. Dört DKIM içgörü senaryosu — hizalı imza pass'ından hiç DKIM sonucu olmamasına kadar — DMARC raporlarında karşılaşacağınız tam yelpazeyi temsil eder. Hangi senaryonun gönderim kaynaklarınızın her birine uygulandığını bilmek, doğru düzeltici eylemi almanızı sağlar.

DMARCFlow bu tanıyı hızlı ve doğru şekilde yapar. Her DMARC raporundaki her DKIM sonucunu analiz eder, net bir senaryoyla eşleştirir ve harekete geçmeniz için öneriler sunar — ister bir ESP'de özel seçici yayımlamak, ister bir anahtarı döndürmek, isterse kalıcı bir permerror'ı araştırmak olsun. Bunu güvenlik skoru, olgunluk takibi ve AB uyumlu veri işleme ile birleştirin; "DKIM bir yerde mevcut" noktasından "DKIM tam olarak hizalı ve aktif olarak alan adımı koruyor" noktasına sizi taşımak üzere tasarlanmış bir platforma sahip olursunuz.