Mi az a DKIM rekord, és miért fontos a levelezésed számára?

Küldesz egy fontos emailt egy ügyfélnek, aztán kiderül, hogy meg sem kapta, mert a spam mappában landolt. Vagy ami még rosszabb: valaki a te neveddel visszaélve küld csaló leveleket a partnereidnek. Mindkét probléma közös gyökere ugyanaz, és a megoldásához egy háromszereplős rendszer egyik alappillérét, a DKIM rekordot kell megértened.

A DKIM rekord egy speciális bejegyzés a domained DNS-beállításai között, amely lehetővé teszi, hogy a fogadó levelezőszerverek ellenőrizzék: az email tényleg attól a domaintől érkezett, amelyiktől állítja, és útközben senki nem változtatta meg a tartalmát. Egyszerűbben fogalmazva a DKIM egy digitális pecsét, amely bizonyítja a leveleid eredetiségét.

Ebben az útmutatóban lépésről lépésre végigvesszük, mit jelent a DKIM, hogyan működik a háttérben, hogyan néz ki egy ilyen rekord, és hogyan illeszkedik a levelezésbiztonság nagyobb képébe az SPF és a DMARC mellett. A cél az, hogy a végére ne csak a fogalmat értsd, hanem azt is tudd, miért nem érdemes elhanyagolni.

Mit jelent pontosan a DKIM?

A DKIM a DomainKeys Identified Mail kifejezés rövidítése. Ez egy email-hitelesítési szabvány, amelynek egyetlen fő célja van: megakadályozni, hogy a rosszindulatú felek egy legitim domain nevében küldjenek leveleket. A hitelesítés révén a fogadó fél biztos lehet abban, hogy az üzenet valóban a feltüntetett feladótól származik.

A probléma, amit megold, régóta létezik. Az emailküldés alapfelépítése lehetővé teszi, hogy bárki tetszőleges feladót tüntessen fel a levélben. Így egy csaló könnyedén állíthatja, hogy egy bank, egy szolgáltató vagy éppen a te céged nevében ír, miközben valójában adathalászatra készül. A DKIM ezt a hamisítást teszi rendkívül nehézzé.

A DKIM működésének alapja a nyilvános kulcsú titkosítás. Ez egy olyan rendszer, amelyben két, matematikailag összekapcsolt kulcs dolgozik együtt. Az egyik a privát kulcs, amelyet a küldő fél titokban tart, a másik a nyilvános kulcs, amelyet mindenki számára elérhetővé tesz. A kettő úgy illeszkedik egymáshoz, mint egy lakat és a hozzá tartozó kulcs.

A digitális aláírás logikája

Amikor egy levél kimegy, a küldő szerver a privát kulcs segítségével egy digitális aláírást hoz létre, és ezt hozzácsatolja az emailhez egy külön fejlécként. Ez az aláírás egyedi, és szorosan kötődik a levél tartalmához.

A fogadó szerver ezután lekéri a domain nyilvános kulcsát, és ezzel ellenőrzi az aláírást. Ha az aláírás érvényes, biztos lehet benne, hogy a levél valóban az adott domainről indult, és útközben nem módosították. Ha bármi megváltozott a tartalomban vagy a fontos fejlécekben, az ellenőrzés megbukik, pontosan úgy, ahogy egy feltört gyógyszeres doboz zárófóliája jelzi az illetéktelen beavatkozást.

Hogyan működik a DKIM a gyakorlatban?

A folyamat három jól elkülöníthető lépésből áll. Az elsőt aláírásnak, a másodikat közzétételnek, a harmadikat pedig ellenőrzésnek nevezzük. Ez a három lépés együtt biztosítja a rendszer megbízhatóságát.

Az első lépés az aláírás. Amikor te vagy a levelezőszervered elküld egy emailt, a szerver a privát kulcs segítségével elkészíti a digitális aláírást, és beszúrja azt a levélbe egy DKIM-Signature nevű fejlécként. Ez a fejléc a felhasználó számára láthatatlan, de a fogadó szerver számára tartalmazza az összes szükséges információt.

A második lépés a közzététel. A domain tulajdonosa a nyilvános kulcsot közzéteszi a DNS-ben, egy úgynevezett TXT rekord formájában. Ez a nyilvános kulcs bárki számára elérhető, és pontosan ez a lényeg: a fogadó szerver ennek segítségével tudja majd ellenőrizni az aláírást.

A harmadik lépés az ellenőrzés. Amikor a levél megérkezik, a fogadó szerver kiolvassa a DKIM-fejlécből, melyik domain és melyik kulcs tartozik a levélhez, lekéri a megfelelő nyilvános kulcsot a DNS-ből, és ellenőrzi vele az aláírást. Ha minden stimmel, a levél átment a hitelesítésen.

Miért javítja a kézbesíthetőséget?

A DKIM nem csupán biztonsági eszköz, hanem közvetlenül befolyásolja azt is, hogy a leveleid eljutnak-e a címzett postaládájába. A nagy szolgáltatók, mint a Google vagy a Microsoft, egyre szigorúbban kezelik a hitelesítetlen leveleket, és sokszor egyenesen a spam mappába irányítják őket.

Ha aktív email-hitelesítéssel rendelkezel, a szolgáltatók megbízhatóbbnak látják a küldő domainedet. Ez különösen fontos, ha rendszeresen küldesz nagyobb mennyiségű levelet, például egy email marketing rendszeren keresztül. A jó kézbesíthetőség nélkül a legjobban megírt üzenet is hatástalan marad, hiszen el sem jut az olvasóhoz.

Ugyanez érvényes minden nagyobb kiküldésre. Egy gondosan összeállított email kampány eredményessége nagyban múlik azon, hogy a levelek a beérkező üzenetek közé kerülnek-e, vagy elvesznek a spam szűrők között. A hitelesítés itt nem luxus, hanem alapfeltétel.

Hogyan néz ki egy DKIM rekord?

A DKIM rekord egy DNS TXT bejegyzés, amelynek meghatározott felépítése van. Bár elsőre bonyolultnak tűnhet, a részei jól elkülöníthetők, és a logikájuk könnyen érthető.

A rekord neve mindig egy meghatározott mintát követ: selector._domainkey.domain formában épül fel. A selector egy egyedi azonosító, amelyet a levelezőszolgáltatód ad meg, a _domainkey rész pedig minden DKIM rekordban azonos, kötelező elem. A domain a te saját domained neve.

A rekord tartalma maga a nyilvános kulcs, kiegészítve néhány címkével. A v=DKIM1 jelzi a verziót, a p= címke után pedig a hosszú, karaktersorozatból álló nyilvános kulcs következik. Egy tipikus tartalom így kezdődik: v=DKIM1; p=MIGfMA0GCSq…, majd egy hosszú karaktersor zárja.

A selector és a kulcsváltás

A selector kifejezés kulcsfontosságú a rendszerben, mert ez teszi lehetővé, hogy egy domain akár több DKIM kulcsot is használjon egyszerre. A fogadó szerver a selector alapján tudja, melyik konkrét kulcsot kell lekérnie az adott levélhez.

Ez azért hasznos, mert így a domain tulajdonosa időnként lecserélheti a kulcsokat anélkül, hogy fennakadást okozna. A rendszeres kulcsváltás, vagyis a kulcsrotáció, tovább növeli a biztonságot, hiszen egy esetlegesen kiszivárgott régi kulcs idővel érvényét veszti.

A DKIM helye a levelezésbiztonság rendszerében

A DKIM önmagában is hasznos, de igazán erős védelmet két másik szabvánnyal együtt nyújt. Ezt a hármast érdemes együtt kezelni, mert egymást kiegészítve zárják ki a visszaéléseket.

Az első társ az SPF, vagyis a Sender Policy Framework. Ez azt határozza meg, mely szerverek jogosultak leveleket küldeni az adott domain nevében. Míg az SPF a küldő szerver jogosultságát ellenőrzi, a DKIM a levél tartalmának sértetlenségét és eredetét igazolja. A kettő tehát más-más szemszögből védi a levelezést.

A harmadik elem a DMARC, amely az SPF-re és a DKIM-re épül. A DMARC azt mondja meg a fogadó szervernek, mit tegyen azokkal a levelekkel, amelyek nem mennek át a hitelesítésen: fogadja el, jelölje spamnek, vagy utasítsa el teljesen. A DMARC ezenkívül jelentéseket is küld, így a domain tulajdonosa láthatja, ki próbál visszaélni a nevével.

A Cloudflare DKIM guide is hangsúlyozza, hogy ez a három szabvány együtt teszi rendkívül nehézzé a domain-hamisítást. Külön-külön mindegyik hasznos, de a valódi, robusztus védelmet a három együttes használata adja.

DKIM és a szélesebb biztonsági kép

Az email-hitelesítés csak egy szelet a teljes védelmi rendszerből, de fontos szelet. A domain és a levelezés védelme éppúgy része a digitális jelenléted biztonságának, mint a jelszavak vagy a rendszeres frissítések. Egy céges levelezésnél a hitelesítés hiánya nemcsak kézbesítési gondokat okoz, hanem komoly reputációs kockázatot is jelent.

Ha valaki a te domained nevében küld adathalász leveleket, a partnereid bizalma sérül, és a domained jó híre is odalesz. A DKIM beállítása ezért nem csupán technikai feladat, hanem a márkád és az ügyfeleid védelmének része is. A nagy szolgáltatók egyre több esetben előírják a hitelesítést, így a beállítása ma már gyakorlatilag elvárás, nem választható extra.

Hogyan állítsd be a DKIM rekordot?

A beállítás pontos menete a levelezőszolgáltatódtól függ, de a logika mindenhol azonos. Először a szolgáltatónál generálod le a kulcspárt és a hozzá tartozó rekordot, majd a domained DNS-beállításai között helyezed el a kapott értéket.

A legtöbb szolgáltató, például a Google Workspace vagy a Microsoft 365, a beállítási felületén automatikusan generálja a szükséges selectort és nyilvános kulcsot. Ezt egy készen kapott TXT rekord formájában adja meg, amelyet csak be kell másolnod a domain DNS-kezelőjébe. Ha Gmail alapú céges levelezést használsz, a folyamat a felügyeleti konzolon néhány kattintással elvégezhető.

A rekord elhelyezése után érdemes egy kis türelemmel lenni, mert a DNS-változások terjedése akár néhány órát is igénybe vehet. Ezt követően ellenőrizheted a beállítást egy ingyenes online DKIM-ellenőrző eszközzel, amely megmutatja, hogy a rekord helyesen került-e a helyére, és a kulcs érvényes-e.

Dióhéjban

A DKIM rekord a modern email-hitelesítés egyik alappillére, amely digitális aláírás segítségével bizonyítja, hogy a leveleid valóban a te domainedről indultak, és útközben nem módosították őket. A rendszer a nyilvános kulcsú titkosításra épül: a privát kulcs aláír, a DNS-ben közzétett nyilvános kulcs pedig ellenőriz.

A DKIM nemcsak a hamisítás és az adathalászat ellen véd, hanem a levelek kézbesíthetőségét is javítja, ami minden komolyabb kiküldésnél kulcskérdés. A legerősebb védelmet az SPF-fel és a DMARC-kal együtt adja, ezért érdemes mindhármat beállítani. A folyamat nagyrészt automatizált a nagy szolgáltatóknál, így a beállítás ma már bárki számára elérhető feladat, amely bőven megéri a ráfordított időt.

Gyakran ismételt kérdések

Muszáj DKIM rekordot beállítanom, ha csak ritkán küldök emailt?

Rövid válasz: erősen ajánlott, még ritka küldés esetén is. A nagy levelezőszolgáltatók egyre szigorúbban szűrik a hitelesítetlen leveleket, így DKIM nélkül a leveleid könnyen a spam mappába kerülhetnek, függetlenül attól, milyen gyakran küldesz. Ráadásul a hitelesítés megvédi a domainedet attól is, hogy mások visszaéljenek a neveddel, ami akár ritka küldés mellett is komoly kockázat.

Mi a különbség a DKIM, az SPF és a DMARC között?

Mindhárom az email-hitelesítést szolgálja, de más szemszögből. Az SPF azt ellenőrzi, mely szerverek küldhetnek levelet a domained nevében. A DKIM digitális aláírással igazolja a levél eredetét és sértetlenségét. A DMARC pedig az előző kettőre épül, és megmondja a fogadó szervernek, mit tegyen a hitelesítésen elbukó levelekkel, ráadásul jelentéseket is küld a visszaélésekről.

Honnan tudom, hogy jól működik a DKIM beállításom?

A legegyszerűbb módszer, ha küldesz egy tesztlevelet egy másik postaládádba, majd megnézed a levél forráskódját vagy a fejlécadatait. Itt látszik, hogy a DKIM ellenőrzés sikeres volt-e. Emellett számos ingyenes online eszköz létezik, amely a domained megadása után megmutatja, hogy a DKIM rekord helyesen szerepel-e a DNS-ben, és a nyilvános kulcs érvényes-e.