DKIM 紀錄：數位簽章如何保障你的電子郵件安全

策略Dec 10, 20258 min 閱讀

郵件仿冒攻擊的發生率正快速攀升，其危害程度遠超大多數人的認知。近期一份報告顯示，73% 的品牌曾遭遇郵件仿冒攻擊，且隨著攻擊者手段愈發高明，這一數字還在持續上升。當你的郵件被篡改或偽造時，用戶信任便會蕩然無存。客戶不再打開你的郵件，垃圾郵件過濾器會攔截你的郵件，甚至在你察覺異常之前，郵件送達率就已大幅下降。

而DKIM正是解決這一問題的關鍵。它為你的郵件添加了數位真實性印章，就好比用只有你的域名專屬的私密簽名為郵件上鎖。當郵件抵達收件箱服務商時，他們會驗證這個簽名，確保郵件在傳輸過程中未被篡改。

在本指南中，你將了解DKIM紀錄的定義、工作原理，以及如何配置DKIM以防止郵件篡改並提升送達率。繼續閱讀，深入了解更多內容。

什麼是DKIM紀錄？

DKIM紀錄是一種特殊的DNS TXT紀錄，用於存儲公鑰加密金鑰。接收郵件伺服器可透過該金鑰驗證郵件頭中的數位簽名是否真實有效。這有點像一套鎖鑰系統：你的郵件伺服器使用私鑰為發出的郵件簽名，而接收伺服器則透過存儲在你DNS中的公鑰驗證該簽名。

簡單來說，DKIM是什麼？它是一種郵件驗證方式，可證明你的郵件確實來自你的域名，且在傳輸過程中未被篡改。此外還有一個名為「選擇器（selector）」的概念，這是簽名中包含的一個小標籤，它會告知接收伺服器應驗證哪一條DKIM紀錄。選擇器與私鑰配合使用，幫助伺服器找到用於驗證的正確公鑰。

DKIM的核心優勢

DKIM帶來了多項重要優勢，尤其在郵件安全和信任建立方面。以下是其核心價值：

篡改偵測：DKIM採用雜湊簽名技術。只要郵件在傳輸過程中發生任何細微改動，簽名就會無法匹配。這就好比你能發現有人在郵件送達前私自拆封了它。
寄件人驗證：DKIM可證明你的郵件確實來自你的域名，有助於建立與Gmail、Outlook等收件箱服務商之間的信任。
提升郵件送達率：帶有有效簽名的郵件會獲得更高優先級，更有可能進入收件箱而非垃圾郵件資料夾。

2024年郵件詐騙案件增幅已超過22%，對於所有大規模發送郵件的企業而言，郵件驗證已成為必備環節。DKIM為你提供了強大的保護層，可有效維護域名信譽。

DKIM的工作原理：保障郵件安全送達的數位簽名技術

DKIM在後台靜默運行，卻在保障郵件安全和可信度方面發揮著關鍵作用。它會為每封郵件添加數位簽名，讓收件箱服務商能夠確認郵件確實來自你，且在傳輸過程中未被篡改。下面我們分步解析其工作流程。

步驟1：金鑰對生成

所有DKIM配置都始於金鑰對的生成。如果你覺得「金鑰對」這個術語很專業，不必擔心，它的原理其實很簡單。

你或你的郵件服務商可透過OpenSSL等工具，或平台內建的生成器建立兩把金鑰。
私鑰會安全存儲在你的郵件伺服器中，伺服器將使用這把金鑰為發出的郵件簽名。
公鑰則存儲在DNS設定中的DKIM紀錄裡，收件方透過這把金鑰驗證你的郵件。

你無需成為數學專家就能理解這部分內容：私鑰為郵件簽名，公鑰驗證該簽名，就像一套必須完美匹配的拼圖。這一點為何重要？網路犯罪案件每年都在增加，建立安全的簽名系統有助於保護你的域名免受攻擊。

步驟2：DNS紀錄配置

生成金鑰對後，下一步就是發布DKIM紀錄。這一步乍看可能令人卻步，但只要知道操作路徑，其實非常簡單。

登入你的域名註冊商或DNS託管平台。
進入DNS紀錄管理頁面。
新增一條新的TXT紀錄。
貼上完整的DKIM值，其格式通常如下：

v=DKIM1; k=rsa; p=你的公鑰內容

你還需要設定一個選擇器，它能幫助收件方確定要取得哪條DKIM紀錄。選擇器會按照以下格式成為DNS主機名的一部分：

選擇器名稱._domainkey.你的域名.com

這裡有一個大多數新手都會忽略的專業技巧：將完整的公鑰貼上為一整行，不要換行、不要有多餘空格。哪怕只是一個多餘的空格，都可能導致驗證失敗。你肯定不希望因為一個微小的格式錯誤導致DKIM驗證失敗。相信我，這種情況發生的頻率遠超你的想像。

步驟3：郵件簽名流程

完成DKIM紀錄配置後，你的郵件伺服器會自動接管並開始為郵件添加簽名，你無需進行任何額外操作。

每次點擊「發送」按鈕時，都會發生以下過程：

郵件伺服器擷取郵件的關鍵部分，例如正文和郵件頭。
生成一個唯一的雜湊值，這有點類似郵件的「指紋」。
用私鑰對這個「指紋」進行簽名。
生成的簽名會被添加到郵件的「DKIM-Signature」頭資訊中。

每封郵件的簽名都是獨一無二的，就像一個防篡改封條。如果有人試圖在傳輸過程中對郵件進行哪怕微小的修改，簽名都會失效，收件箱服務商會立即發現異常。

步驟4：收件方驗證

現在我們切換視角，看看郵件抵達Gmail、Outlook或Yahoo等平台後會發生什麼。這些服務商都會執行一套快速但高效的檢查，以確認郵件是真實的還是具有風險的。

接收伺服器從郵件頭中讀取DKIM選擇器。
根據該選擇器在你的DNS中查找對應的DKIM紀錄。
取得你的公鑰，並使用它解密簽名。
然後對郵件內容生成新的雜湊值。
如果兩個雜湊值匹配，伺服器會將DKIM驗證結果標記為「DKIM=通過」。

「通過」意味著郵件未被篡改，且確實來自其所聲稱的域名。這對郵件送達率至關重要，因為收件箱服務商高度依賴信任機制。事實上，最新的送達率數據顯示，帶有有效DKIM簽名的郵件比無簽名郵件的入箱率更高。信任度提升，垃圾郵件投訴就會減少，這也是行銷人員、IT團隊和郵件管理員都依賴DKIM維護寄件人信譽的原因。

步驟5：測試與監控DKIM配置

這最後一步是許多人容易忽視的環節。配置DKIM固然重要，但必須透過測試確保所有環節都能正常運行。哪怕一個微小的錯誤，都可能導致郵件驗證失效，進而讓郵件進入垃圾郵件資料夾。

以下是你必須執行的操作：

使用MXToolbox.com、Valimail.com等工具，或 DMARC 分析工具測試配置是否正確。
發送幾封測試郵件到個人信箱，並檢查郵件頭中是否顯示「DKIM=通過」。
持續監控域名信譽。域名信譽是收件箱服務商判定郵件入箱與否的重要依據，因此保持良好的信譽狀態至關重要。
每更換DNS服務商、郵件服務平台或修改域名設定時，都需重新測試DKIM。

DKIM測試能幫助你及早發現問題，避免影響郵件送達率。

新手需規避的常見錯誤

即便初衷良好，新手也常常會犯一些常見錯誤。避開這些問題，能讓你的郵件驗證配置過程更加順暢。

DNS主機名錯誤：這是最常見的問題。主機名通常遵循以下格式：selector._domainkey.yourdomain.com。哪怕一個拼寫錯誤，都會導致DKIM失效。
使用安全性較弱的1024位元金鑰：安全標準在不斷升級，如今許多專家建議使用2048位元金鑰，以有效抵禦攻擊者。
跳過測試環節：許多人想當然地認為DKIM配置完成後就一定能正常工作，這是非常危險的。配置完成後，以及每次對DNS進行重大修改後，都必須進行測試。

這些小錯誤可能會導致郵件被攔截，或出現驗證結果不穩定的情況。但只要稍加留意，你就能避開這些陷阱，立即改善郵件送達率。