เชิงเทคนิค · คำตอบพร้อมแหล่งอ้างอิง

DKIM selector คืออะไร

DKIM selector คือสตริงเฉพาะที่ใช้ระบุ public key ตัวใดตัวหนึ่งในเรคคอร์ด DNS ของโดเมน ทำให้ผู้ส่งใช้คีย์ DKIM หลายชุดกับโดเมนเดียวได้ รองรับการหมุนเวียนคีย์และการใช้บริการลงลายเซ็นที่ต่างกันโดยไม่ทำให้เรคคอร์ด DNS ขัดกัน

หน้าที่ในการทำงาน

selector ทำหน้าที่เป็นตัวชี้ในการค้นหา DNS เมื่อเซิร์ฟเวอร์ผู้รับเห็นลายเซ็น DKIM ในเฮดเดอร์อีเมล จะหาค่า selector ในลายเซ็น แล้วสร้างการค้นหา DNS สำหรับเรคคอร์ดที่ selector._domainkey.example.com ทำให้ผู้รับดึง public key ที่ต้องใช้ตรวจสอบลายเซ็นเข้ารหัสของข้อความนั้นได้ตรงตัว

ความสำคัญต่อผู้ส่ง

selector สำคัญต่อความต่อเนื่องในการดำเนินงาน การใช้ selector ช่วยให้ผู้ส่งหมุนเวียนคีย์เป็นระยะเพื่อรักษาความปลอดภัยโดยไม่ทำให้การยืนยันตัวตนล้มเหลว หากคีย์ถูกเจาะ ก็ติดตั้ง selector ใหม่แล้วค่อย ๆ เลิกใช้ตัวเก่าได้ ช่วยป้องกันระบบหยุดชะงักและทำให้เมลที่ถูกต้องผ่านการตรวจสอบต่อเนื่องระหว่างการเปลี่ยน

ข้อผิดพลาดที่พบบ่อยในการใช้งานจริง

ข้อผิดพลาดที่พบบ่อยคือ selector ที่เซิร์ฟเวอร์ลงลายเซ็นใช้ไม่ตรงกับ selector ที่เผยแพร่ในเรคคอร์ด DNS หากเครื่องมือลงลายเซ็นใช้ selector1 แต่เรคคอร์ด DNS เผยแพร่ไว้ใต้ selector2 การตรวจสอบจะล้มเหลว อีกข้อผิดพลาดคือจังหวะ DNS propagation ไม่เหมาะสม คือส่งเมลด้วย selector ใหม่ก่อนที่เรคคอร์ด DNS จะไปถึง resolver ทั่วโลกทั้งหมด

ตัวอย่างที่เป็นรูปธรรม

หากบริษัทใช้บริการสองอย่างที่ต่างกัน อาจใช้ selector-marketing สำหรับเครื่องมือส่งจดหมายข่าว และ selector-transact สำหรับการแจ้งเตือนของแอป เรคคอร์ด DNS จะเป็น marketing._domainkey.example.com และ transact._domainkey.example.com คุณตรวจสอบเรคคอร์ดเหล่านี้ได้ด้วยเครื่องมือฟรีที่ https://sendhq.cc/tools เพื่อให้แน่ใจว่า public key เผยแพร่ถูกต้อง

กลยุทธ์การหมุนเวียนคีย์

แนวปฏิบัติที่ดีคือสร้างคู่คีย์ใหม่และเผยแพร่ใต้ชื่อ selector ใหม่ เมื่อ selector ใหม่ propagate แล้ว จึงอัปเดตเซิร์ฟเวอร์ผู้ส่งให้ลงลายเซ็นด้วยคีย์ใหม่ เก็บเรคคอร์ด selector เดิมไว้ช่วงสั้น ๆ เพื่อให้ผู้รับตรวจสอบข้อความที่ส่งก่อนการเปลี่ยนได้ จากนั้นจึงลบทิ้งอย่างปลอดภัย

คำถามที่ทีมมักถาม

โดเมนมี DKIM selector มากกว่าหนึ่งตัวได้หรือไม่

ได้ โดเมนมีหลาย selector ได้ เพื่อรองรับบริการส่งที่ต่างกันหรือให้หมุนเวียนคีย์ได้อย่างราบรื่น

selector อยู่ที่ไหนในอีเมล

selector อยู่ในเฮดเดอร์ DKIM-Signature ของอีเมล โดยเฉพาะในแท็ก s=

การเปลี่ยน selector กระทบ SPF หรือไม่

ไม่ DKIM selector เป็นอิสระจากเรคคอร์ด SPF และไม่กระทบการตั้งค่าหรือการตรวจสอบ SPF

จะเกิดอะไรขึ้นหาก selector หายไปจาก DNS

เซิร์ฟเวอร์ผู้รับจะหา public key ไม่พบ ทำให้ได้สถานะ DKIM permerror หรือ fail

แหล่งข้อมูลหลัก

ข้อกำหนด RFC 6376: DomainKeys Identified Mail — RFC Editor
เอกสาร Cloudflare DNS — Cloudflare