Рекомендации по ключам DKIM

Общие сведения

При цифровой подписи сообщений эл. почты посредством идентифицированной почты DomainKeys (DKIM) ключ доказывает, что сообщение поступило из вашего домена. Эта подпись является стандартом отрасли.

Salesforce использует пары ключей DKIM для подписи исходящего сообщения эл. почты, отправленного от имени компании, что повышает репутацию домена как законного отправителя. Каждая пара ключей DKIM состоит из одного личного и одного открытого ключей. Salesforce публикует открытый ключ, а личные ключи хранятся в Salesforce. Эти связанные ключи проверяют домен отправки эл. почты и помогают проверить подлинность исходящих сообщений эл. почты.

Во время перевозки почты Salesforce использует ваш личный ключ для создания подписи DKIM, а потом добавляет эту подпись к исходящим сообщениям эл. почты. Когда получатель получает электронное сообщение, подпись DKIM проверяется по открытому ключу посредством записи DNS вашего домена. Эта проверка доказывает, что отправителем является тот, за кого он себя выдает.

В Salesforce активный ключ DKIM также проверяет, являетесь ли вы ответственным за домен. Salesforce может отправлять сообщения эл. почты от имени пользователей только при проверке домена и адреса эл. почты. Дополнительную информацию см. в разделе «Требования к отправке эл. почты из Salesforce».

Ротация ключей DKIM

В целях безопасности Salesforce меняет ключи DKIM каждые 30 дней. Цикл ротации начинается при создании и публикации пары ключей DKIM.

Пара ключей DKIM содержит открытый ключ и закрытый ключ.

• Основной ключ DKIM: Ваша основная активная пара общедоступных и личных ключей DKIM.
• Альтернативный ключ DKIM: Ваша дополнительная неактивная пара общедоступных и личных ключей, используемая для замены пары основных ключей во время ротации.

При настройке ключа DKIM вы настраиваете записи CNAME, указывающие на пары основных и дополнительных закрытых ключей. Salesforce заменяет ключи.

Временная шкала ротации

Ниже указана временная шкала событий, начиная с первой публикации ключа DKIM. После активации ключа DKIM Salesforce выполняет каждое из следующих действий.

• День 0: Опубликована основная пара ключей DKIM.
• День 25: Salesforce создает альтернативную пару ключей DKIM в подготовке к ротации. Salesforce публикует альтернативную пару ключей в DNS за 5 дней до ротации, чтобы все серверы DNS знали о новой паре ключей.
• День 30: Salesforce отмечает пару альтернативных ключей активной и подписывает электронные сообщения новым активным ключом на следующие 30 дней.

Несколько пар ключей DKIM

Если несколько активных ключей DKIM соответствуют отправляющему домену, Salesforce использует ключ с самой длинной схемой соответствия домена. Если у нескольких активных ключей одинаковая схема наибольшей длины совпадения, Salesforce случайным образом выбирает один из ключей для использования.

Пример: Вы отправляете электронное сообщение из Salesforce с доменом sales.mail.example.com. Если пары ключей DKIM существуют для этих трех схем соответствия домена, Salesforce использует ключи в следующем порядке.

• .sales.mail.example.com
• .mail.example.com
• .example.com

Запрос ключей DKIM

Чтобы узнать, как запрашивать ключи DKIM и авторизованные домены эл. почты, см. Получение списка проверенных доменов отправки эл. почты

DKIM для проверки электронной почты на уровне домена

Salesforce требует проверки электронной почты на уровне домена и пользователя. Salesforce может отправлять сообщения эл. почты от имени ваших пользователей только после завершения двух уровней проверки.

Для проверки на уровне домена имя домена активного ключа DKIM должно соответствовать всему домену, отображаемому в адресе «От». Во избежание сбоев доставки активируйте отдельный ключ DKIM для каждого домена и субдомена отправки электронной почты. См. Требования к отправке эл. почты из Salesforce.

DKIM для проверки электронной почты на уровне пользователя

По запросу клиентов Salesforce предлагает возможность использования проверки на уровне домена для обхода требования проверки электронной почты на уровне пользователя. Однако, Salesforce не рекомендует этот параметр из-за рисков безопасности. Чтобы защитить фирменный стиль и бизнес, Salesforce настоятельно рекомендует включить параметр «Требовать проверку электронной почты для всех активных ключей DKIM». См. Рекомендации по отправке эл. почты из Salesforce.