Czym jest para kluczy DKIM
DKIM (DomainKeys Identified Mail) to standard, dzięki któremu Twój serwer pocztowy kryptograficznie podpisuje każdą wychodzącą wiadomość. Odbiorcy (Gmail, Outlook) weryfikują podpis i wiedzą, że mail naprawdę pochodzi z Twojej domeny i nie został zmodyfikowany po drodze. Do tego potrzebujesz pary kluczy: klucza prywatnego, który siedzi na serwerze i podpisuje wiadomości, oraz klucza publicznego, który publikujesz jako rekord TXT w DNS pod adresem `<selektor>._domainkey.<twoja-domena>`, żeby odbiorcy mogli go pobrać.
To narzędzie generuje tę parę za Ciebie. Zwraca klucz prywatny w formacie PEM (instalujesz go na serwerze pocztowym) i gotowy do wklejenia rekord TXT (publikujesz go w DNS). RSA 1024 / 2048 / 4096 bitów, generowane wbudowanym modułem crypto Node'a (OpenSSL pod spodem). Nigdzie nie zapisujemy klucza.
Jak używać
- Wybierz selektor: krótka etykieta typu `mail2024`, `s1`, `google`. Mówi, który klucz podpisał wiadomość. Nowy selektor pozwala rotować klucze bez psucia starych maili.
- Wybierz długość klucza: 2048 bitów to obecny standard. 1024 jest przestarzałe (jeszcze akceptowane, ale odradzane). 4096 to przesada w 99% przypadków i spowalnia podpisywanie.
- Opcjonalnie wpisz domenę żebyśmy pokazali pełną nazwę DNS (`<selektor>._domainkey.<domena>`). Bez tego i tak dostaniesz treść rekordu TXT.
- Kliknij Generuj. Dostaniesz klucz prywatny w PEM i wartość rekordu TXT gotową do wklejenia w panel DNS.
- Zapisz klucz prywatny od razu. Nigdzie nie trzymamy kopii. Zamknięcie karty = klucz znika na zawsze. Zainstaluj go w serwerze pocztowym (Postfix + opendkim, exim, Mailgun, SendGrid, Postmark, własne SMTP) według dokumentacji Twojego dostawcy.
- Opublikuj rekord TXT pod `<selektor>._domainkey.<twoja-domena>` w DNS. Jeśli Twój dostawca DNS limituje pojedynczy string TXT do 255 znaków (większość tak, taki jest limit RFC), użyj wersji split którą damy: `"część1" "część2"` w jednej linii.
- Poczekaj na propagację DNS (od kilku minut do kilku godzin), wyślij testowego maila i sprawdź nagłówki pod kątem `dkim=pass`. Gmail pokazuje to w "Pokaż oryginał".
Kiedy się przydaje
Sześć typowych sytuacji w których potrzebujesz świeżej pary DKIM:
- Pierwsze ustawienie DKIM na nowej domenie albo nowym serwerze pocztowym. Potrzebujesz pary kluczy zanim skonfigurujesz cokolwiek po stronie poczty albo DNS.
- Rotacja kluczy co 6 do 12 miesięcy jako higiena bezpieczeństwa. Generujesz nowy selektor, publikujesz, przełączasz klucz podpisujący na serwerze, wycofujesz stary selektor po okresie karencji.
- Podejrzenie kompromitacji klucza: jeśli sądzisz że klucz prywatny wyciekł (włamanie na serwer, przypadkowy commit do publicznego repo, były admin nadal ma dostęp), wygeneruj nowy natychmiast i unieważnij stary opróżniając wartość `p=`.
- Dodanie drugiego źródła wysyłki (np. provider transakcyjny SendGrid obok własnego Postfixa). Każde źródło zwykle chce własny selektor i własny klucz.
- Przejście ze starego klucza 1024-bit na nowoczesny 2048-bit. Większość dostawców głośno o tym ostrzega w 2026.
- Testy DKIM na domenie staging zanim włączysz to na produkcji.
Powiązane: sprawdzanie DNS dla email (SPF / DKIM / DMARC) (weryfikacja Twojego rekordu), sprawdzanie DNS, analizator nagłówków email.