ما محدِّد DKIM (DKIM selector)؟

آلية العمل

يعمل المحدِّد كمؤشر في استعلام DNS. فعندما يرى الخادم المستلِم توقيع DKIM في ترويسة الرسالة، يبحث عن قيمة المحدِّد في التوقيع، ثم يُنشئ استعلام DNS عن السجل في selector._domainkey.example.com. ويتيح ذلك للمستلِم الحصول على المفتاح العام الدقيق اللازم للتحقق من التوقيع التشفيري لتلك الرسالة بعينها.

أهميته للمُرسِلين

المحدِّدات بالغة الأهمية لاستمرارية التشغيل. فباستخدامها يستطيع المُرسِلون تدوير المفاتيح دوريًا للحفاظ على الأمان دون التسبب في إخفاقات المصادقة. وإذا تعرّض مفتاح للاختراق، يمكن نشر محدِّد جديد مع الإلغاء التدريجي للمحدِّد القديم. ويمنع ذلك التوقف ويضمن استمرار نجاح البريد المشروع في فحوصات المصادقة خلال فترات الانتقال.

أخطاء تشغيلية شائعة

من الأخطاء المتكررة عدم مطابقة المحدِّد الذي يستخدمه خادم التوقيع للمحدِّد المنشور في سجل DNS. فإذا استخدمت أداة التوقيع selector1 بينما نُشر سجل DNS تحت selector2، فسيُخفق التحقق. ومن الأخطاء الشائعة أيضًا سوء تقدير توقيت انتشار DNS، حيث يُرسَل البريد باستخدام محدِّد جديد قبل أن يصل سجل DNS إلى جميع المحلّلات حول العالم.

مثال ملموس

إذا كانت شركة تستخدم خدمتين مختلفتين، فقد تستخدم selector-marketing لأداة النشرة الإخبارية وselector-transact لإشعارات التطبيق. وستكون سجلات DNS عندئذٍ marketing._domainkey.example.com وtransact._domainkey.example.com. يمكنك التحقق من هذه السجلات باستخدام الأدوات المجانية على https://sendhq.cc/tools للتأكد من نشر المفاتيح العامة بشكل صحيح.

استراتيجية تدوير المفاتيح

تتضمن أفضل الممارسات إنشاء زوج مفاتيح جديد ونشره تحت اسم محدِّد جديد. وبعد انتشار المحدِّد الجديد، يُحدَّث خادم الإرسال ليوقّع بالمفتاح الجديد. ويُحتفظ بسجل المحدِّد القديم لفترة قصيرة ليتمكن المستلِمون من التحقق من الرسائل التي أُرسلت قبل التبديل مباشرةً، ثم يُحذف بأمان.

أسئلة تطرحها الفرق

المصادر الأساسية

• RFC 6376: البريد المعرَّف بمفاتيح النطاق (DKIM) — محرّر RFC
• وثائق Cloudflare DNS — Cloudflare