Überlegungen zu DKIM-Schlüsseln

Übersicht

Wenn Sie Ihre E-Mails digital mit einer DomainKeys Identified Mail (DKIM) signieren, beweist der Schlüssel, dass die Nachricht aus Ihrer Domäne stammt. Diese Signatur ist ein Branchenstandard.

Salesforce verwendet DKIM-Schlüsselpaare, um ausgehende E-Mails zu signieren, die im Namen Ihres Unternehmens gesendet werden, was den Ruf Ihrer Domäne als legitimer Absender erhöht. Jedes DKIM-Schlüsselpaar besteht aus einem privaten und einem öffentlichen Schlüssel. Salesforce veröffentlicht den öffentlichen Schlüssel und die privaten Schlüssel werden in Salesforce gespeichert. Diese verknüpften Schlüssel überprüfen Ihre sendende E-Mail-Domäne und helfen Ihnen, die Authentizität Ihrer ausgehenden E-Mails zu überprüfen.

Während des E-Mail-Transports verwendet Salesforce Ihren privaten Schlüssel, um eine DKIM-Signatur zu generieren, und fügt diese Signatur dann ausgehenden E-Mails hinzu. Wenn der Empfänger die E-Mail erhält, wird die DKIM-Signatur über den öffentlichen DNS-Datensatz Ihrer Domäne mit dem öffentlichen Schlüssel abgeglichen. Diese Validierung beweist, dass der Absender derjenige ist, für den er sich ausgibt.

In Salesforce überprüft ein aktiver DKIM-Schlüssel auch, ob Sie Inhaber der Domäne sind. Salesforce kann E-Mails nur dann im Namen Ihrer Benutzer senden, wenn sowohl die Domäne als auch die E-Mail-Adresse überprüft wurden. Weitere Informationen finden Sie unter Anforderungen zum Senden von E-Mails über Salesforce.

DKIM-Schlüsselrotation

Aus Sicherheitsgründen rotiert Salesforce Ihre DKIM-Schlüssel alle 30 Tage. Der Rotationszyklus beginnt, wenn ein DKIM-Schlüsselpaar erstellt und veröffentlicht wird.

Ein DKIM-Schlüsselpaar enthält einen öffentlichen und einen privaten Schlüssel.

• Primärer DKIM-Schlüssel: Ihr wichtigstes aktives öffentlich-privates DKIM-Schlüsselpaar.
• Alternative DKIM-Schlüssel: Ihr sekundäres, inaktives öffentlich-privates Schlüsselpaar, das während der Rotation das Primärschlüsselpaar ersetzt.

Wenn Sie einen DKIM-Schlüssel einrichten, richten Sie CNAME-Datensätze ein, die auf die privaten Primär- und Sekundärschlüsselpaare verweisen. Salesforce rotiert die Schlüssel für Sie.

Rotationszeitachse

Im Folgenden finden Sie die Zeitachse der Ereignisse, die bei der ersten Veröffentlichung eines DKIM-Schlüssels beginnen. Nachdem Sie einen DKIM-Schlüssel aktiviert haben, führt Salesforce jede dieser Aktionen für Sie aus.

• Tag 0: Das primäre DKIM-Schlüsselpaar wird veröffentlicht.
• Tag 25: Salesforce erstellt ein alternatives DKIM-Schlüsselpaar als Vorbereitung auf die Rotation. Salesforce veröffentlicht das alternative Schlüsselpaar 5 Tage vor der Rotation im DNS, damit alle DNS-Server von dem neuen Schlüsselpaar wissen.
• Tag 30: Salesforce markiert das alternative Schlüsselpaar als aktiv und signiert E-Mails mit dem neu aktiven Schlüssel für die nächsten 30 Tage.

Mehrere DKIM-Schlüsselpaare

Wenn mehrere aktive DKIM-Schlüssel mit der sendenden Domäne übereinstimmen, verwendet Salesforce den Schlüssel mit dem am längsten übereinstimmenden Domänenabgleichsmuster. Wenn mehrere aktive Schlüssel dasselbe Muster mit der längsten Übereinstimmung aufweisen, wählt Salesforce nach dem Zufallsprinzip einen der zu verwendenden Schlüssel aus.

Beispiel: Sie senden E-Mails von Salesforce mit der Domäne sales.mail.example.com. Wenn DKIM-Schlüsselpaare für diese drei Domänenübereinstimmungsmuster vorhanden sind, verwendet Salesforce die Schlüssel in dieser Reihenfolge.

• .sales.mail.example.com
• .mail.example.com
• .example.com

Abfragen Ihrer DKIM-Schlüssel

Informationen zum Abfragen Ihrer DKIM-Schlüssel und autorisierten E-Mail-Domänen finden Sie unter Abrufen einer Liste Ihrer überprüften E-Mail-Versanddomänen.

DKIM für die E-Mail-Überprüfung auf Domänenebene

Salesforce erfordert eine E-Mail-Überprüfung auf Domänen- und Benutzerebene. Salesforce kann E-Mails nur dann im Namen Ihrer Benutzer senden, wenn beide Überprüfungsebenen abgeschlossen sind.

Zur Überprüfung auf Domänenebene muss der Domänenname eines aktiven DKIM-Schlüssels mit der gesamten Domäne übereinstimmen, die in der Absenderadresse angezeigt wird. Aktivieren Sie zum Vermeiden von Zustellungsfehlern einen separaten DKIM-Schlüssel für jede Domäne und Unterdomäne, die E-Mails sendet. Entsprechende Informationen finden Sie unter Anforderungen zum Senden von E-Mails über Salesforce.

DKIM für die E-Mail-Überprüfung auf Benutzerebene

Auf Wunsch unserer Kunden bietet Salesforce die Möglichkeit, die Überprüfung auf Domänenebene zu verwenden, um die Anforderung einer E-Mail-Überprüfung auf Benutzerebene zu umgehen. Salesforce empfiehlt diese Option jedoch aufgrund der Sicherheitsrisiken nicht. Salesforce empfiehlt dringend, zum Schutz Ihrer Marke und Ihres Unternehmens die Option E-Mail-Überprüfung erforderlich für alle aktiven DKIM-Schlüssel zu aktivieren. Entsprechende Informationen finden Sie unter Überlegungen zum Senden von E-Mails über Salesforce.