Письма не подписываются DKIM?

Question

[Павел]

Кто сталкивался с DNS хостингом от Yandex? Как настроить отправку писем со своего хостинга с DKIM подписью?

DNS записи:
https://s.mail.ru/4izzV7bQKLMv/img-2016-03-17-07-5...

Свойства пришедшего письма:
Received: from mxfront13h.mail.yandex.net ([127.0.0.1])
by mxfront13h.mail.yandex.net with LMTP id AP5L5o89
for <**@ya.ru>; Thu, 17 Mar 2016 07:36:28 +0300
Received: from sp2.siteko.net (sp2.siteko.net [95.213.161.147])
by mxfront13h.mail.yandex.net (nwsmtp/Yandex) with ESMTPS id asRTvxPjNS-aRNqNvP5;
Thu, 17 Mar 2016 07:36:27 +0300
(using TLSv1.2 with cipher DHE-RSA-AES256-SHA256 (256/256 bits))
(Client certificate not present)
Return-Path: [e-mail]
X-Yandex-Front: mxfront13h.mail.yandex.net
X-Yandex-TimeMark: 1458189387
Authentication-Results: mxfront13h.mail.yandex.net; spf=pass (mxfront13h.mail.yandex.net: domain of con.network designates 95.213.161.147 as permitted sender) smtp.mail=[e-mail]; dkim=neutral header.i=@con.network
X-Yandex-Spam: 1
DKIM-Signature: v=1; a=rsa-sha256; q=dns/txt; c=relaxed/relaxed; d=con.network; s=dkim;
h=Date:Message-Id:Content-Type:MIME-Version:Subject:From:Subject:To; bh=2dJvH7+3hPfSoAiQBH7iIC30Jovft0VqjiqlnvG72c8=;
b=xXuhbmkWf2NrwCuFyq3Qf0MJR3K3Jvsg/NbUynwz2bvssNzrm+6hRf9JzV8H9UWNVKRfntQcGgRy6keB2MuiiCgSJ1fQuTvPXUe+esmHnyxM70nGo/oAKVN88Uk+LTh9xKHRAC4CZoSddMLGz61DUFBDAdhmLT2udRT29OFBYEc=;
Received: from manysour by sp2.siteko.net with local (Exim 4.80)
(envelope-from )
id 1agPff-0000VE-IE
for [e-mail]; Thu, 17 Mar 2016 07:36:27 +0300

Answer 1

[Владимир Дубровин]

У вас опубликован DKIM-ключ для селектора mail (mail._domainkey) а письмо подписано с селектором dkim (s=dkim в DKIM-Signature). Насколько я понимаю, письмо формировалось вашим сервером и DKIM-подпись добавлял он, а не яндекс. Соответственно, или поправьте селектор в настройках своего почтового сервера с dkim на mail (подойдет только в том случае, если вы используете тот же ключ, что и Яндекс) или опубликуйте публичный ключ, который он использует в записи dkim._domainkey или используйте отправку через SMTP Яндекса с авторизацией, тогда письма будет подписывать он.

Comments

[Павел]

Не могли бы подсказать как лучше сделать?

[Павел]

Письмо формируется на хостинге, а отправляется с Яндекса.

[Владимир Дубровин]

Лучше продолжать использовать отдельный селектор для писем отправляемых с хостинга и опубликовать отдельный ключ для этого селектора (отличный от ключа используемого для "ручных" сообщений). Вообще лучше всегда использовать разные селекторы для разных категорий почты.

[Павел]

Я так понял, мне нужно у хостинг провайдера получить dkim._domainkey и добавить эту запись в DNS записи на Yandex?

[Владимир Дубровин]

Павел: да, так.

[Павел]

Владимир Дубровин: Мне дали тот же самый DKIM только для селектора dkim, то нормально?

[Павел]

А теперь значок DKIM есть но подозрительный. https://s.mail.ru/55rfKAeMASGW/img-2016-03-17-11-2...
Authentication-Results: mxfront7g.mail.yandex.net; spf=pass (mxfront7g.mail.yandex.net: domain of con.network designates 95.213.161.147 as permitted sender) smtp.mail=[e-mail]; dkim=fail header.i=@con.network
X-Yandex-Spam: 1
DKIM-Signature: v=1; a=rsa-sha256; q=dns/txt; c=relaxed/relaxed; d=con.network; s=dkim;
h=Date:Message-Id:Content-Type:MIME-Version:Subject:From:Subject:To; bh=2dJvH7+3hPfSoAiQBH7iIC30Jovft0VqjiqlnvG72c8=;
b=dE6DEKfar47dOTIVbSmoHfw38RzGC1xCtoezxHno1SkE5WZWUaVXu4vdy8Kfx0gzDLpJlK4BNWf5Nh0qSas16KNVUlgSWlICwJ6fU8RyEbUHtP2bymsjnZBtVmtvAVuAbqQ8+j7OdrIlpILyaZuEhY3lf54YEb3gIGfZbBKm7JA=;
Received: from manysour by sp2.siteko.net with local (Exim 4.80)
(envelope-from )
id 1agTBw-0007k9-TI
for *****@ya.ru; Thu, 17 Mar 2016 11:22:00 +0300

[Павел]

Ну и видно что dkim=fail , что не так?

[Павел]

Тут проверил https://s.mail.ru/39iZAfZcMZdF/img-2016-03-17-11-3... , публичный ключ верный показывает.

[Владимир Дубровин]

Павел: напишите письмо на mail.ru - там будет в заголовках информация почему не проходит проверка DKIM

[Владимир Дубровин]

Павел:
>Мне дали тот же самый DKIM только для селектора dkim
это нормально (хотя и не очень правильно) только в том случае, если вы экспортировали из яндекса приватный ключ и отдавали его хостеру. Лучше сгенерировать новую пару ключей, публичный ключ опубликовать как dkim._domainkey, а приватный клюс передать хостеру для использования в подписи.

[Павел]

Владимир Дубровин: https://s.mail.ru/2WuhHHPxYdxA/img-2016-03-17-11-4...

[Павел]

Владимир Дубровин: А вот тут то как раз и нет, приватный ключ я Яндекса я не получал и соответственно хостингу не передавал, вот в чем проблема значит?!

[Владимир Дубровин]

Сигнатура неверная, значит скорей всего ключ вам дали не тот.

[Владимир Дубровин]

Возможен еще вариант, что меняется содержимое письма после подписи. Чаще всего это бывает из-за неправильных переводов строк или слишком длинных строк в письме.

P.S. еще у вас в заголовке Content-Type треш, должно быть charset=utf-8. Но это не имеет отношения к проблеме, скорей всего.

[Владимир Дубровин]

Лучше сгенерируйте отдельную пару ключей, публичный опубликуйте в DNS, приватный отдайте хостеру.

[Павел]

Владимир Дубровин: Заменили приватный ключ на сервере, все равно такая же ошибка с подлинностью.

[Павел]

Такая же ошибка https://s.mail.ru/5Bcsp7emyc6F/img-2016-03-17-13-3...

[Владимир Дубровин]

Павел: возможно используется кэшированная DNS-запись, подождите немного. Проверьте пока письмо через dkimvalidator.com, он даст еще больше информации о том, почему бьется DKIM. И уточните, есть ли длинные строчки в теле письма.

[Павел]

Владимир Дубровин: В письме всего пар слов. DNS уже обновились, по крайне мере запись с публичным ключом https://s.mail.ru/2t49xbQKQeUg/img-2016-03-17-13-5...

[Владимир Дубровин]

Павел: bad RSA signature - это однозначно публичный ключ не соответствует приватному

[Павел]

Владимир Дубровин: Странно, но хостинг сменил ключ на тот что я дал, как такое может быть?

[Владимир Дубровин]

Павел: видимо хостер или не прописал или не применил новую конфигурацию, покажите ему результаты с dkimvalidator.com.

[Павел]

Владимир Дубровин: А я думаю стоит сами ключи проверить ... Вот тут их проверить можно? crypt-online.narod.ru/crypts/rsa

[Владимир Дубровин]

Павел: не знаю, наверное. Но как минимум их еще придется вытаскивать из DKIM-записи и в hex переводить.

[Павел]

Владимир Дубровин: Что то не получается ключи проверить. Не подскажите где их проверить можно? Вот у меня есть два ключа, изначально они в виде символов не закодированного в hex, верно ?

[Владимир Дубровин]

Павел: так а как вы их генерировали? Я не вижу большого смысла проверять ключи, если вы их делали с помощью какого-нибудь стандартного инструмента для DKIM.

[Павел]

Владимир Дубровин: делал я их на сайте , но я не знаю в чем ещё проблема может быть, поэтому хочу проверить как работают сами ключи, просить по второму разу сменить ключи у хостинга уже не хочется.

[Павел]

Владимир Дубровин: Решил проблему с подписью, теперь проблема при отправке письма с длинным текстом. Подпись не верная получается, а при коротком письме все норм. Что предпринять не подскажете ?

[Владимир Дубровин]

Павел: вроде советовал уже - проверьте, что письмо разбиваете на не очень длинные строки, иначе оно будет разбиваться при передаче.

[Павел]

Владимир Дубровин: Ну все решилось кодировкой. в base64 проблемы идут видимо из-за длины самой строки

[Igor A]

Павел: в чем было дело? такая же хрень... подпись есть, но яндекс ее не видит, другие почтовики вообще не принимают...