DKIM-Schlüsselrotation
Das Ersetzen eines DKIM-Signaturschlüssels durch einen neuen unter einem neuen Selektor, wobei beide veröffentlicht bleiben, bis die mit dem alten Schlüssel signierte Mail geprüft ist.
Was es bedeutet
Rotation begrenzt den Schaden durch einen gestohlenen oder geknackten privaten Schlüssel und ist der Weg, auf dem eine Domain zu einem längeren Schlüssel wechselt. RFC 6376 beschreibt das Vorgehen: den neuen öffentlichen Schlüssel unter einem neuen Selektor veröffentlichen, ausgehende Mail auf die Signatur damit umstellen, den alten Schlüssel veröffentlicht lassen, solange damit signierte Nachrichten noch unterwegs oder in Warteschlangen sein können, und ihn dann entfernen. Wer den Record löscht oder ihn mit leerem p= veröffentlicht, widerruft den Schlüssel.
Gehostete Plattformen automatisieren das oft. Microsoft 365 verwendet zwei CNAME-Selektoren pro Domain und wechselt zwischen ihnen, wenn ein Admin es anfordert; Provider, die Sie bitten, ihre Selektoren per CNAME einzubinden, können rotieren, ohne dass Sie im DNS etwas ändern.
Löschen Sie nie den einzigen veröffentlichten Schlüssel, bevor die Signatur umgestellt ist, sonst scheitert jede Nachricht, die gerade unterwegs ist, an DKIM.
Verwandte Begriffe
Auf dieser Website
Quellen
Worauf diese Definition beruht. Die Formulierung stammt von uns, die Fakten von den Quellen.
Alle 432 Begriffe im GlossarDas Wiki: Blacklists und Bounce-Codes