DKIM-sleutellengte

Wat het betekent

RFC 8301 (2018) legde de ondergrens vast: ondertekenaars moeten RSA-sleutels van minstens 1024 bits gebruiken en horen minstens 2048 te gebruiken, en verifiers moeten sleutels van 1024 tot 4096 bits accepteren en alles korter dan 1024 weigeren. Dezelfde update maakte rsa-sha256 verplicht en zette rsa-sha1 buiten gebruik: dat mag niet meer worden gebruikt voor ondertekenen of verifiëren.

Gmail eist een sleutel van 1024 bits of langer voor e-mail aan persoonlijke Gmail-accounts en raadt 2048 bits aan waar de DNS-host dat ondersteunt; in de installatiehandleiding blijft 1024 de optie voor hosts die geen langere sleutels kunnen opslaan.

De sleutellengte is voor iedereen zichtbaar: zoek het record van de selector op en meet de waarde van p=. Een 2048-bits sleutel moet over meerdere TXT-strings worden verdeeld, en sommige DNS-hosts kunnen dat niet aan. Ed25519-sleutels zijn met 256 bits veel korter en passen in één string.