DKIM kaydınızı kurdunuz, imzalar geçiyor, teslimat iyi. Ve o anahtar üç yıldır hiç değişmedi. Anahtar döndürme, e-posta güvenliğinin en çok ertelenen bakım işidir.
Bu yazı, DKIM anahtarlarının yenilenmesini ele alıyor.
Neden Değiştirilir?
Anahtar döndürmenin gerekçeleri:
- Sızma riski zamanla artar.
- Eski anahtarlar kısa olabilir. Güvenlik düşük.
- Personel değişimi. Anahtara kim erişti?
- Sağlayıcı değişikliği.
- Uyum gereklilikleri.
Birinci maddenin ardındaki mantık şudur: özel anahtarı ele geçiren biri, sizin adınıza geçerli imzalı e-posta gönderebilir ve tüm kimlik doğrulama kontrolleriniz onu doğrular.
Bu, kimlik avı saldırıları için ideal bir araçtır. Alıcı taraf iletiyi gerçek kabul eder çünkü teknik olarak gerçekten sizin alan adınızdan imzalanmıştır.
İkinci madde eski kurulumları ilgilendirir. Yıllar önce oluşturulmuş kısa anahtarlar bugünün standartlarının altında kalmaktadır.
Üçüncü madde ise sıkça gözden kaçar. Anahtara erişimi olan bir çalışan ayrıldığında, o anahtar artık güvenilir sayılamaz.
Ne Sıklıkla?
| Durum | Öneri |
|---|---|
| Normal işletim | Yılda bir kez |
| Yüksek hacimli gönderim | Altı ayda bir |
| Şüphe veya sızma | Derhal |
| Personel ayrılışı | Kısa sürede |
| Sağlayıcı değişimi | Geçiş sırasında |
Yıllık döndürme çoğu kuruluş için makul bir dengedir. Ancak asıl önemli olan sıklık değil, sürecin var olmasıdır: acil bir sızma durumunda anahtarı hızla değiştirebilmek, ancak bu işlemi daha önce yapmış olmakla mümkündür.
Hiç denenmemiş bir prosedürü kriz anında ilk kez uygulamak, ek hatalar üretir.
Seçici Adı Neden Önemli?
DKIM kayıtları bir seçici adıyla yayımlanır ve bu, döndürmeyi mümkün kılan yapıdır:
- Her anahtarın kendi seçicisi vardır.
- Birden fazla seçici aynı anda yayında olabilir.
- İmza hangi seçiciyi kullandığını belirtir.
- Alıcı o seçiciyi sorgular.
İkinci madde kesintisiz geçişin anahtarıdır: yeni seçiciyi yayına almadan önce eskiyi kaldırmak zorunda değilsiniz — ikisi bir süre yan yana durabilir.
Bu, geçiş sırasında hiçbir iletinin doğrulanamaz duruma düşmemesini sağlar.
Seçici adlandırmasında tarih kullanmak pratik bir alışkanlıktır. Hangi anahtarın ne zaman oluşturulduğu bir bakışta görülür.
Kesintisiz Döndürme Adımları
| Adım | Açıklama |
|---|---|
| 1 | Yeni anahtar çifti oluşturun |
| 2 | Yeni seçiciyi DNS'e ekleyin |
| 3 | Yayılmasını bekleyin |
| 4 | Kaydın çözümlendiğini doğrulayın |
| 5 | Gönderim sistemini yeni anahtara geçirin |
| 6 | Test gönderimi yapıp imzayı doğrulayın |
| 7 | Bir süre bekleyin |
| 8 | Eski seçiciyi kaldırın |
Yedinci adım en çok atlanan ve en gerekli olandır: eski anahtarla imzalanmış iletiler hâlâ yolda veya alıcı kuyruğunda olabilir ve eski seçici hemen silinirse bu iletilerin doğrulaması başarısız olur.
Birkaç günlük bir bekleme süresi bu riski ortadan kaldırır. Yeniden gönderim mekanizmaları düşünüldüğünde bir hafta daha güvenlidir.
Dördüncü adım ise sıralamanın mantığını gösterir. DNS kaydı çözümlenmeden gönderim sistemini geçirirseniz, o andan itibaren tüm imzalarınız doğrulanamaz.
Sık Yapılan Hatalar
- Önce gönderimi geçirip sonra DNS eklemek.
- Eski seçiciyi hemen silmek.
- Kaydı bölerken hata yapmak.
- Özel anahtarı güvensiz saklamak.
- Birden fazla gönderim sistemini unutmak.
Beşinci madde büyük yapılarda ciddi karışıklık üretir: pazarlama platformu, uygulama sunucusu, destek sistemi ve kurumsal posta ayrı ayrı imza atıyorsa, her birinin anahtarı ayrı yönetilmelidir.
Birinin döndürülüp diğerlerinin unutulması, kısmi doğrulama sorunlarına yol açar ve teşhisi zordur.
Üçüncü madde teknik bir tuzaktır. Uzun anahtarlar DNS kaydında bölünmek zorunda kalır ve bölme sırasında eklenen fazladan boşluk kaydı geçersiz kılar.
Dördüncü madde ise tüm çabayı anlamsız kılar. Özel anahtar sürüm kontrolüne eklenmişse ya da paylaşılan bir sürücüde duruyorsa, döndürmek geçici bir rahatlamadan ibarettir.
Döndürme Sonrası İzleme
Değişiklikten sonra kontrol edilecekler:
- Doğrulama raporlarını takip edin.
- Başarısız imza oranına bakın.
- Teslimat metriklerini karşılaştırın.
- Farklı sağlayıcılara test gönderin.
Birinci madde en hızlı geri bildirimi verir: alan adı politikanız için gelen raporlar, imzaların geçip geçmediğini gönderim kaynağı bazında gösterir ve unutulmuş bir sistemi anında ortaya çıkarır.
Bu raporlar zaten toplanıyorsa, döndürme sonrası birkaç gün daha dikkatli okunmalıdır.
Dördüncü madde ise pratik bir doğrulamadır. Farklı büyük sağlayıcılardaki test hesaplarına gönderip başlıkları incelemek, sorunu dakikalar içinde gösterir.
Otomatikleştirmek
Döndürmeyi sürdürülebilir kılmanın yolları:
| Yaklaşım | Fayda |
|---|---|
| Takvim hatırlatması | En basit çözüm |
| Yazılı prosedür | Herkes uygulayabilir |
| Sağlayıcı yönetimli anahtar | Döndürmeyi sağlayıcı yapar |
| DNS otomasyonu | Elle hata riski azalır |
Üçüncü satır birçok kuruluş için en pratik cevaptır: gönderim sağlayıcınız anahtar yönetimini üstleniyorsa, döndürme sizin gündeminizden tamamen çıkar.
Bu durumda kontrol etmeniz gereken tek şey, sağlayıcının bu işlemi gerçekten düzenli yaptığıdır.
İkinci satır ise ikinci en değerli yatırımdır. Adım adım yazılmış bir prosedür, işlemi yılda bir kez yapan birinin hata yapmasını engeller.
Anahtar yönetimi ve imzalama süreçlerinin sağlayıcı tarafında nasıl ele alındığını öğrenmek gerekir; e-posta gönderim servisi tarafında DKIM anahtarlarının oluşturulması ve yenilenmesi yönetilen bir süreç olarak sunulabilir.
Sonuç
DKIM anahtar döndürme ertelenmemesi gereken bir bakımdır çünkü özel anahtarı ele geçiren biri sizin adınıza geçerli imzalı e-posta gönderebilir ve alıcı taraf bunu doğrular. Kesintisiz geçişin sırrı seçici yapısıdır: yeni ve eski anahtar bir süre yan yana durabilir. Eski seçiciyi hemen silmeyin — yolda olan iletilerin doğrulaması başarısız olur. Birden fazla sistemden gönderim yapıyorsanız her birinin anahtarını ayrı takip edin; biri unutulduğunda teşhisi zor kısmi arızalar çıkar.
Sıkça Sorulan Sorular (SSS)
Anahtarı ne sıklıkla değiştirmeliyim?
Normal işletimde yılda bir, yüksek hacimli gönderimde altı ayda bir yeterlidir. Sızma şüphesinde derhal, anahtara erişimi olan personel ayrıldığında kısa sürede. Asıl önemli olan sıklık değil, sürecin daha önce denenmiş olmasıdır.
Değişiklik sırasında e-postalarım doğrulanamaz mı olur?
Doğru sırayla yapılırsa hayır. Birden fazla seçici aynı anda yayında olabilir, bu yüzden yeni anahtarı ekleyip DNS'te çözümlendiğini doğruladıktan sonra gönderim sistemini geçirin. Eskiyi ancak birkaç gün — tercihen bir hafta — sonra kaldırın.
Birden fazla sistemden gönderiyorum, ne yapmalıyım?
Her birinin anahtarını ayrı yönetin ve döndürme sırasında hiçbirini atlamayın. Pazarlama platformu, uygulama sunucusu, destek sistemi ve kurumsal posta ayrı imza atıyorsa, biri unutulduğunda teşhisi zor kısmi doğrulama sorunları çıkar.
Döndürmenin başarılı olduğunu nasıl doğrularım?
Alan adı politikanız için gelen doğrulama raporlarını takip edin — bunlar imzaların geçip geçmediğini gönderim kaynağı bazında gösterir ve unutulmuş bir sistemi anında ortaya çıkarır. Ayrıca farklı büyük sağlayıcılardaki test hesaplarına gönderip başlıkları inceleyin.
