Overwegingen bij DKIM-sleutels

Overzicht

Wanneer u uw e-mailberichten digitaal ondertekent met een DomainKeys Identified Mail (DKIM), bewijst de sleutel dat het bericht afkomstig is van uw domein. Die handtekening is een industriestandaard.

Salesforce gebruikt DKIM-sleutelparen om uitgaande e-mail te ondertekenen die namens uw bedrijf wordt verzonden, hetgeen de reputatie van uw domein als legitieme afzender vergroot. Elk DKIM-sleutelpaar bestaat uit één privésleutel en één openbare sleutel. Salesforce publiceert de openbare sleutel en de persoonlijke sleutels worden opgeslagen in Salesforce. Deze gekoppelde sleutels verifiëren uw verzendende e-maildomein en helpen de authenticiteit van uw uitgaande e-mailberichten te verifiëren.

Tijdens posttransport gebruikt Salesforce uw persoonlijke sleutel om een DKIM-handtekening te genereren en voegt die handtekening vervolgens toe aan uitgaande e-mailberichten. Wanneer de ontvanger het e-mailbericht ontvangt, wordt de DKIM-handtekening gevalideerd op basis van de openbare sleutel via de openbare DNS-record van uw domein. Deze validatie bewijst dat de afzender degene is die deze beweert te zijn.

In Salesforce verifieert een actieve DKIM-sleutel ook of u eigenaar bent van het domein. Salesforce kan alleen namens uw gebruikers e-mail verzenden wanneer zowel het domein als het e-mailadres zijn geverifieerd. Zie Vereisten voor het verzenden van e-mail vanuit Salesforce voor meer informatie.

DKIM-sleutelrotatie

Salesforce roteert uw DKIM-sleutels elke 30 dagen om veiligheidsredenen. De rotatiecyclus begint wanneer een DKIM-sleutelpaar wordt gemaakt en gepubliceerd.

Een DKIM-sleutelpaar bevat een openbare sleutel en een privésleutel.

• Primaire DKIM-sleutel: Uw belangrijkste, actieve openbaar-privé DKIM-sleutelpaar.
• Alternatieve DKIM-sleutel: Uw secundaire, inactieve openbaar-privé sleutelpaar, dat wordt gebruikt om het primaire sleutelpaar te vervangen tijdens rotatie.

Wanneer u een DKIM-sleutel instelt, stelt u CNAME-records in die verwijzen naar de primaire en secundaire persoonlijke sleutelparen. Salesforce roteert de sleutels voor u.

Rotatietijdlijn

Hier is de tijdlijn van events vanaf de eerste keer dat een DKIM-sleutel wordt gepubliceerd. Nadat u een DKIM-sleutel hebt geactiveerd, voert Salesforce al deze acties voor u uit.

• Dag 0: Het primaire DKIM-sleutelpaar wordt gepubliceerd.
• Dag 25: Salesforce maakt een alternatief DKIM-sleutelpaar ter voorbereiding op rotatie. Salesforce publiceert het alternatieve sleutelpaar 5 dagen vóór rotatie naar het DNS, zodat alle DNS-servers op de hoogte zijn van het nieuwe sleutelpaar.
• Dag 30: Salesforce markeert het alternatieve sleutelpaar als actief en ondertekent e-mailberichten met de nieuw actieve sleutel voor de volgende 30 dagen.

Meerdere DKIM-sleutelparen

Als meerdere actieve DKIM-sleutels overeenkomen met het verzendende domein, gebruikt Salesforce de sleutel met het langste overeenkomende domeinovereenkomstpatroon. Als meerdere actieve sleutels hetzelfde langst overeenkomende patroon hebben, selecteert Salesforce willekeurig een van de te gebruiken sleutels.

Voorbeeld: U verzendt e-mail vanuit Salesforce met het domein sales.mail.voorbeeld.com. Als er DKIM-sleutelparen bestaan voor deze drie overeenkomstenpatronen voor domeinen, gebruikt Salesforce de sleutels in deze volgorde.

• .sales.mail.voorbeeld.com
• .mail.voorbeeld.com
• .voorbeeld.com

Uw DKIM-sleutels opvragen

Zie Een lijst ophalen van uw geverifieerde e-mailverzenddomeinen voor meer informatie over het uitvoeren van een query op uw DKIM-sleutels en geautoriseerde e-maildomeinen.

DKIM voor e-mailverificatie op domeinniveau

Salesforce vereist e-mailverificatie op domein- en gebruikersniveau. Salesforce kan alleen namens uw gebruikers e-mail verzenden nadat beide verificatieniveaus zijn voltooid.

Voor verificatie op domeinniveau moet de domeinnaam van een actieve DKIM-sleutel overeenkomen met het gehele domein dat wordt weergegeven in het 'From'-adres. Als u leveringsfouten wilt voorkomen, activeert u een afzonderlijke DKIM-sleutel voor elk e-mailverzendend domein en subdomein. Zie Vereisten voor het verzenden van e-mail vanuit Salesforce.

DKIM voor e-mailverificatie op gebruikersniveau

Op verzoek van onze klanten biedt Salesforce de optie om verificatie op domeinniveau te gebruiken om de vereiste voor e-mailverificatie op gebruikersniveau te omzeilen. Salesforce raadt deze optie echter niet aan vanwege de beveiligingsrisico's. Om uw merk en bedrijf te beschermen, raadt Salesforce sterk aan dat u E-mailverificatie vereisen inschakelt voor alle actieve DKIM-sleutels. Zie Overwegingen bij het verzenden van e-mail vanuit Salesforce.