DKIM 金鑰的考量事項

概觀

當您使用 DomainKeys 識別郵件 (DKIM) 數位簽署電子郵件時,金鑰會證明訊息來自您的網域。該簽章是行業標準。

Salesforce 使用 DKIM 金鑰配對來簽署代表您公司傳送的輸出電子郵件,這可提升您網域作為合法寄件者的聲譽。每個 DKIM 金鑰組皆包含一個私人和一個公用金鑰。Salesforce 會發佈公用金鑰,而私人金鑰會儲存在 Salesforce 中。這些連結的金鑰會驗證您的傳送電子郵件網域,並協助驗證輸出電子郵件的真實性。

在郵件傳輸期間,Salesforce 會使用您的私人金鑰產生 DKIM 簽章,然後將該簽章新增至輸出電子郵件。收件者收到電子郵件時,會透過您網域的公用 DNS 記錄,針對公用金鑰驗證 DKIM 簽章。此驗證會證明寄件者是他們聲稱的身分。

在 Salesforce 中,啟用的 DKIM 金鑰也會確認您擁有該網域。只有在驗證網域和電子郵件地址時,Salesforce 才能代表您的使用者傳送電子郵件。如需詳細資訊,請參閱從 Salesforce 傳送電子郵件的 需求。

DKIM 金鑰輪換

為了安全起見,Salesforce 每 30 天輪替一次您的 DKIM 金鑰。輪換週期會在建立與發佈 DKIM 金鑰配對時開始。

DKIM 金鑰組包含公用金鑰與私人金鑰。

• 主要 DKIM 金鑰:主要、啟用的公用私人 DKIM 金鑰配對。
• 替代 DKIM 金鑰:您的次要、未啟用公用私人金鑰配對,用於輪替期間取代主要金鑰配對。

當您設定 DKIM 金鑰時,您會設定指向主要和次要私人金鑰配對的 CNAME 記錄。Salesforce 會為您輪替金鑰。

輪換時間表

以下是第一次發佈 DKIM 金鑰時開始的事件時程表。在您啟用 DKIM 金鑰後,Salesforce 會為您執行以下每個動作。

• 第 0 天:發佈主要 DKIM 金鑰配對。
• 第 25 天:Salesforce 會在準備輪替時建立替代 DKIM 金鑰配對。Salesforce 會在輪替前 5 天將替代金鑰配對發佈至 DNS,讓所有 DNS 伺服器都知道新金鑰配對。
• 第 30 天:Salesforce 會將替代金鑰配對標記為啟用,並在接下來 30 天內使用新啟用的金鑰簽署電子郵件。

多個 DKIM 金鑰配對

如果有多個啟用的 DKIM 金鑰符合傳送網域,則 Salesforce 會使用具有最長比對網域比對模式的金鑰。如果有多個啟用的金鑰具有相同的最長比對模式,Salesforce 會隨機選取其中一個要使用的金鑰。

範例：您使用 sales.mail.example.com 網域從 Salesforce 傳送電子郵件。如果這些三個網域比對模式存在 DKIM 金鑰配對,則 Salesforce 會依此順序使用該金鑰。

• .sales.mail.example.com
• .mail.example.com
• .example.com

查詢您的 DKIM 金鑰

若要瞭解如何查詢您的 DKIM 金鑰和已授權的電子郵件網域,請參閱 取得已驗證電子郵件傳送網域清單

適用於網域級電子郵件驗證的 DKIM

Salesforce 需要網域級和使用者級電子郵件驗證。只有在兩個驗證層級完成後,Salesforce 才能代表您的使用者傳送電子郵件。

針對網域級驗證,已啟用 DKIM 金鑰的網域名稱必須符合在「寄件者」地址中顯示的整個網域。若要避免傳送失敗,請針對每個電子郵件傳送網域和子網域啟用個別的 DKIM 金鑰。請參閱從 Salesforce 傳送電子郵件的 需求。

使用者層級電子郵件驗證的 DKIM

根據客戶的要求,Salesforce 提供使用網域級驗證的選項,以略過使用者層級電子郵件驗證的需求。不過,由於安全性風險,Salesforce 不建議使用該選項。為了保護您的品牌和業務,Salesforce 強烈建議您針對所有啟用的 DKIM 金鑰啟用「需要電子郵件驗證」。請參閱從 Salesforce 傳送電子郵件的 考量事項。