DKIM+phpmailer dkim=neutral (bad format) header.i=@d61.ru. Как сделать правильно?

Question

[Den Alex Smith]

Пытаюсь подписать письмо DKIM bcgjkmpez для рассылки phpmailer. Сразу оговорюсь, что версия использовалась и 5.2.9 и 5.2.14.

Инструкции по допиливанию phpmailer'a взял тут gaalferov.com/blog/nastrojka-dkim-spf-phpmailer.html и полностью "соблюл".

SPF и DKIM в DNS прописаны давно (использую почту для домена от Яндекса). DKIM-запись (яндекс автоматически прописал, когда делегировал домен):

mail._domainkey TXT v=DKIM1; k=rsa; t=s; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDd+f6E2DnhdeRjFNNlepZPFvv69PTBwmc5uVUyzKR5wlPtaZZmtksl/eJKKtHdlDdv8W+n2HBdoq8bTDJ6KQq31sunz48qW5UxxoekMcwoyNJdZx8mkHRFg+jOoQzU5Qg2OnSCwtw2ZhgwFJuIx8KY1diGyB7T/R+DD646nEPXmwIDAQAB

Cкрипт запускается с поддомена sub.domain.ru

В заголовках писем следующее:


по версии gmail:
Received-SPF: pass (google.com: domain of [e-mail] designates XXX.XX.XX.XX as permitted sender) client-ip=XXX.XX.XX.XX;
Authentication-Results: mx.google.com;
spf=pass (google.com: domain of [e-mail] designates XXX.XX.XX.XX as permitted sender) smtp.mailfrom=[e-mail];
dkim=neutral (bad format) header.i=@domain.ru

по версии яндекс.почты:
Authentication-Results: mxfront5o.mail.yandex.net; spf=pass (mxfront5o.mail.yandex.net: domain of domain.ru designates XXX.XX.XX.XX as permitted sender) smtp.mail=[e-mail]; dkim=neutral


Куда копать? Спасибо.

Answer 1

[Олег Матрозов]

Для начала, вы какой приватный ключ используете для DKIM? Смущает то, что вы пишете, что запись в DNS прописал вам Яндекс, а не вы, но при этом рассылаете то вы со своего сервера. Т.е. вы должны были либо взять приватный ключ, который вам сгенерил яндекс (который можно получить только при обращении в саппорт), либо таки использовать свой, но тогда вы должны были и создать вторую запись публичного ключа для DKIM в DNS, чего, судя по вашему тексту, вы не делали.

Comments

[Den Alex Smith]

Приватный и публичный ключи сгенерил тут: dkimcore.org/tools для домена
хэш "p" совпал с записью в DNS. Или этого недостаточно?

[Олег Матрозов]

O_o - это большие круглые глаза на "хеш совпал с записью в DNS". Вы уверены?
Далее, если вдруг это реально так, то у вас должен быть установлен аналогичный префикс, что и в DNS у яндекса (mail кажется).
Но, что-то мне подсказывает, что хеши таки разные.

[Den Alex Smith]

Олег Матрозов: Вот тут-то на меня и нашло прозрение. Внес новую DNS-запись. И судя по всему, снова придется сутки ждать, пока запись оживет. Бум проверять, спасибо.

[Олег Матрозов]

Надеюсь селекторы у записей разные? )))

[Олег Матрозов]

В том плане, что селектор у яндекса (mail), а вы должны использовать иной и, соответственно, письма на серваке должны другим селектором подписываться.

[Den Alex Smith]

Олег Матрозов: Вот снова непонятка. На этот раз нагенерил, внес запись в днс, настроил phpmailer куда надо (селекторы не попутал, файл с ключом залил новый), запись на dkimcore.org/c/keycheck проходит проверку норм, следует вывод, что она уже ожила...

Результат у гмайл: dkim=neutral (bad format) header.i=@domain.ru
Результат у ямайл: dkim=neutral

[Олег Матрозов]

netcrox: Яша и Гугл легко могут сами кешировать, а keycheck, разумеется, смотрит на первоисточник. Для корректности работы DKIM советую:
https://www.port25.com/support/authentication-cent...
Он и кеш не юзает ну и ответит на вопрос, правильно ли настроен DKIM

[Den Alex Smith]

Олег Матрозов: То есть, записи мои видны еще не всем, если от port25.com пришел такой ответ:
----------------------------------------------------------
DomainKeys check details:
----------------------------------------------------------
Result: neutral (message not signed)
ID(s) verified: header.From=[e-mail]
DNS record(s):

----------------------------------------------------------
DKIM check details:
----------------------------------------------------------
Result: permerror ('From' header not signed)
ID(s) verified:
Canonicalized Headers:

Canonicalized Body:

DNS record(s):

NOTE: DKIM checking has been performed based on the latest DKIM specs
(RFC 4871 or draft-ietf-dkim-base-10) and verification may fail for
older versions. If you are using Port25's PowerMTA, you need to use
version 3.2r11 or later to get a compatible version of DKIM.

[Олег Матрозов]

netcrox: Что же у вас подписывает DKIM в принципе, если он даже Form не подписывает? (мы же должны в первую очередь именно отправителя защищать). Можете email мне на [e-mail] послать?

[Олег Матрозов]

Во, дошло. Вот ваша подпись DKIM:

DKIM-Signature: v=1; a=rsa-sha1; q=dns/txt; l=189; s=1448889297.d61;
t=1448893365; c=relaxed/simple; h=from:to:subject;
d=d61.ru; bh=qhBIiZ6FC/65Ky1xpULoUGZkDzo=;
h=w+JH6z5e2eLgT5HAOosqf/SuB5eFVf+kbrNLM40plaKzvCOhfsT6lkeqAo4i
GXyC6a3mxFfQD+wkwLvp3+qbkq16TY7N8h4ELXjbiS+uF+UzTXUL8gpa0OfL
5wW74Ab7pFZilw0tyrUlGhNg+SYOqUkpgw2viDsK103DNRjr1/c=

Если присмотреться, то в ней дважды задается параметр h=
При этом этот параметр должен указывать на поля, которые участвуют в подписи. В вашем же случае, почему то сама подпись так же названа параметром h=, хотя она должна быть b=. Таким образом при парсинге подписи получатель считывает второе h=, заменяет им предыдущее и, закономерно, не находит в нем поле from (наличие которого является обязательным).

Если посмотреть на код в gaalferov.com/blog/nastrojka-dkim-spf-phpmailer.html, откуда вы взяли реализацию DKIM для phpmailer, то там всё в порядке. Сама подпись находится в параметре b=. Выясните, почему у вас не так.

[Den Alex Smith]

Пойду сейчас, глаза в толчок смою. Спасибо огромное. В общем, суть причины: сначала толкался с неверной DNS-записью, потом начал код править. В итоге доигрался до того момента, что причиной стало не что-то одно, а "что-то два" )) Спасибо огромное.

Answer 2

[Геннадий Алфёров]

Тема по поводу рассылок очень актуальная, но и очень запутанная, особенно с DKIM + phpmailer, и для того что бы разобраться в ней, я потратил не один час на прочтение мануалов.
Выше указана ссылка ведет на мой блог, и как по мне самое простое решение это было обратиться ко мне за помощью. При наличии свободного времени, я бы обязательно подсказал в каком направлении вам необходимо дальше двигаться ;)