DKIM-sleutelrotatie
Een DKIM-ondertekeningssleutel vervangen door een nieuwe onder een nieuwe selector, en beide gepubliceerd houden tot e-mail die met de oude sleutel is ondertekend, is geverifieerd.
Wat het betekent
Rotatie beperkt de schade van een gestolen of gekraakte privésleutel, en zo stap je ook over op een langere sleutel. RFC 6376 beschrijft de werkwijze: publiceer de nieuwe publieke sleutel onder een nieuwe selector, laat uitgaande e-mail daarmee ondertekenen, houd de oude sleutel gepubliceerd zolang berichten die ermee zijn ondertekend nog onderweg of in een wachtrij kunnen zijn, en verwijder hem daarna. Een record verwijderen of publiceren met een lege p= trekt de sleutel in.
Gehoste platforms automatiseren dit vaak. Microsoft 365 gebruikt twee CNAME-selectors per domein en wisselt daartussen als een beheerder daarom vraagt; providers die je vragen hun selectors met een CNAME te koppelen, kunnen roteren zonder dat jij iets in de DNS hoeft te wijzigen.
Verwijder nooit de enige gepubliceerde sleutel voordat het ondertekenen is overgezet, anders faalt elk bericht dat onderweg is voor DKIM.
Verwante begrippen
Op deze site
Bronnen
Waar deze definitie op steunt. De formulering is van ons, de feiten zijn van hen.
Alle 432 begrippen in de begrippenlijstDe wiki: blacklists en bouncecodes