Trình Kiểm Tra Bản Ghi DKIM

Vai trò của DKIM trong xác thực email

DKIM (DomainKeys Identified Mail) là một phương thức xác thực email quan trọng, cho phép tổ chức chịu trách nhiệm về thông điệp đang được truyền đi. Bằng cách sử dụng chữ ký số, DKIM liên kết một tên miền với thông điệp email, giúp xác nhận nguồn gốc và đảm bảo nội dung thư không bị thay đổi trong quá trình truyền tải.

Để thiết lập DKIM, quản trị viên tên miền phải xuất bản một bản ghi TXT trên DNS của tên miền đó. Bản ghi này chứa khóa công khai mà các máy chủ nhận thư sử dụng để xác minh chữ ký số được đính kèm trong phần đầu (header) của email. Nếu không có cấu hình chính xác, các hệ thống lọc thư rác có thể từ chối email hoặc đánh dấu chúng là thư rác.

---

Cấu trúc và các thành phần của bản ghi DKIM TXT

Một bản ghi DKIM TXT bao gồm một danh sách các thẻ (tags) được phân tách bằng dấu chấm phẩy. Mỗi thẻ đại diện cho một thuộc tính cấu hình cụ thể. Dưới đây là các thành phần chính cấu thành nên một bản ghi DKIM tiêu chuẩn:

• Thẻ phiên bản (v): Xác định phiên bản DKIM đang được sử dụng. Thẻ v phải có giá trị chính xác là DKIM1 và bắt buộc phải là thẻ đầu tiên xuất hiện trong bản ghi nếu nó có mặt.
• Thẻ loại khóa (k): Xác định thuật toán mã hóa được sử dụng cho khóa công khai. Các loại khóa được hỗ trợ phổ biến là rsa và ed25519.
• Thẻ khóa công khai (p): Chứa dữ liệu khóa công khai được mã hóa dưới dạng Base64. Đây là thành phần bắt buộc để máy chủ nhận có thể giải mã chữ ký. Nếu giá trị p để trống, điều này đồng nghĩa với việc công bố một khóa DKIM đã bị thu hồi.
• Thẻ dịch vụ (s): Xác định các loại dịch vụ áp dụng bản ghi này, thông thường giá trị phải chứa email hoặc ký tự đại diện *.
• Thẻ thuật toán băm (h): Giới hạn các thuật toán băm được phép sử dụng cho chữ ký. Thẻ này bắt buộc phải cho phép sha256 đối với các chữ ký DKIM hiện tại.

---

Giới hạn kích thước chuỗi DNS TXT và phân đoạn bản ghi

Một trong những lỗi kỹ thuật phổ biến khi thiết lập DKIM liên quan đến giới hạn độ dài của bản ghi DNS TXT. Theo tiêu chuẩn DNS, một bản ghi TXT có thể chứa nhiều chuỗi ký tự, nhưng mỗi chuỗi đơn lẻ (chunk) bị giới hạn nghiêm ngặt ở mức tối đa 255 byte.

Khi khóa công khai (đặc biệt là khóa RSA kích thước lớn) vượt quá giới hạn này, bản ghi phải được chia thành nhiều đoạn văn bản được đặt trong dấu ngoặc kép. DNS sẽ tự động kết hợp các chuỗi này theo thứ tự để tạo thành một bản ghi hoàn chỉnh. Nếu việc phân đoạn hoặc định dạng dấu ngoặc kép bị lỗi, máy chủ nhận thư sẽ không thể đọc đúng khóa công khai.

---

Quy tắc kiểm tra và các lỗi cấu hình thường gặp

Trình Kiểm Tra Bản Ghi DKIM áp dụng một hệ thống quy tắc nghiêm ngặt để phân tích cú pháp và phát hiện các lỗi cấu hình tiềm ẩn trong giá trị bản ghi được dán vào. Dưới đây là các quy tắc kiểm tra và thông báo lỗi tương ứng:

Lỗi định dạng và cú pháp thẻ

• Thẻ phiên bản không hợp lệ: Thẻ v phải là thẻ đầu tiên. Nếu không, công cụ sẽ báo lỗi: "Thẻ v=DKIM1 phải là thẻ đầu tiên khi có mặt.". Nếu giá trị của thẻ v khác DKIM1, hệ thống hiển thị: "The v tag must be exactly DKIM1, not “‹detail›”.".
• Thẻ trùng lặp hoặc sai cú pháp: Mỗi thẻ chỉ được xuất hiện một lần. Nếu lặp lại, lỗi "Thẻ ‹tag› xuất hiện nhiều hơn một lần." sẽ hiển thị. Nếu một trường thiếu ký tự =, hệ thống báo lỗi: "Trường “‹tag›” thiếu dấu bằng.". Nếu tên thẻ không đúng định dạng, lỗi "Tên thẻ “‹tag›” bị sai định dạng." sẽ xuất hiện.
• Thẻ không xác định: Các thẻ lạ vẫn được giữ lại nhưng không được xử lý, đi kèm ghi chú: "Thẻ ‹tag› không được nhận diện được giữ lại nhưng không được diễn giải.".

Kiểm tra khóa công khai và thuật toán

• Thiếu khóa công khai: Nếu không tìm thấy thẻ p, hệ thống báo lỗi: "Thẻ khóa công khai p yêu cầu đang thiếu.".
• Khóa bị thu hồi: Nếu thẻ p trống, công cụ ghi nhận: "Giá trị p để trống, qua đó công bố một khóa DKIM đã bị thu hồi.".
• Loại khóa không hỗ trợ: Nếu thẻ k chứa giá trị khác rsa hoặc ed25519, lỗi hiển thị là: "The key type “‹detail›” is not supported. Use rsa or ed25519.". Nếu giá trị p không khớp với loại khóa đã chọn, lỗi "Giá trị p không phải là khóa công khai hợp lệ cho loại khóa đã chọn." sẽ xuất hiện.
• Kích thước khóa RSA: Khóa RSA dưới 1024 bit được coi là không hợp lệ và báo lỗi: "The RSA key is ‹detail› bits. DKIM requires at least 1024 bits.". Khóa RSA dưới 2048 bit sẽ nhận được cảnh báo: "The RSA key is ‹detail› bits. 2048 bits or more is recommended.".
• Kích thước khóa Ed25519: Khóa Ed25519 phải giải mã chính xác ra 32 byte. Nếu sai, hệ thống báo lỗi: "The Ed25519 key decodes to ‹detail› bytes instead of 32.".

Kiểm tra dịch vụ và thuật toán băm

• Dịch vụ không hợp lệ: Nếu giá trị s không chứa email hoặc *, hệ thống báo lỗi: "The s value “‹detail›” contains an unsupported service. Use email or *.".
• Thuật toán băm lỗi thời: Thẻ h bắt buộc phải cho phép sha256. Nếu không, lỗi "The h tag must allow sha256 for current DKIM signatures." sẽ xuất hiện. Việc sử dụng sha1 sẽ bị chặn với thông báo: "sha1 is obsolete for DKIM signatures and must not be used.".

---

Nguyên tắc xử lý dữ liệu cục bộ

Trình Kiểm Tra Bản Ghi DKIM hoạt động hoàn toàn trong trình duyệt web của người dùng. Bản ghi DKIM của bạn vẫn ở trên trình duyệt của bạn. BroBroGo không tải lên hoặc lưu nó.

Công cụ này thực hiện phân tích cú pháp văn bản tĩnh của bản ghi được dán vào mà không thực hiện bất kỳ truy vấn DNS nào đến tên miền của bạn và không xác minh chữ ký email thực tế. Do đó, đây là một phương thức kiểm tra cấu hình nhanh chóng, giúp phát hiện các lỗi cú pháp và định dạng trước khi bạn xuất bản bản ghi lên hệ thống DNS công cộng.

---

Câu hỏi thường gặp (FAQ)

Tại sao các bản ghi DKIM dài lại được chia thành các chuỗi trích dẫn? Một bản ghi DNS TXT có thể chứa nhiều chuỗi ký tự, với mỗi chuỗi giới hạn 255 byte. DNS kết hợp các chuỗi theo thứ tự, vì vậy tất cả các đoạn phải nằm trong một bản ghi TXT.

Trình kiểm tra này nhận dạng các loại khóa DKIM nào? Nó nhận dạng khóa công khai RSA và Ed25519, kiểm tra dạng Base64 của chúng, và báo cáo các khóa RSA dưới 1024 bit là không hợp lệ và các khóa dưới 2048 bit yếu hơn mức khuyến nghị.

Kết quả sạch có chứng minh DKIM đang hoạt động không? Không. Trang này chỉ kiểm tra văn bản bản ghi bạn dán. Nó không truy vấn DNS, xác minh chữ ký thông điệp, xác nhận tên bộ chọn hay chứng minh rằng người nhận thư có thể truy xuất bản ghi.

Tôi có thể dán bản ghi DKIM có chứa dấu ngoặc kép hoặc dấu ngoặc đơn không? Có. Công cụ chấp nhận các đoạn văn bản được trích dẫn và dấu ngoặc trong tệp vùng (zone-file), sau đó tự động ghép nối chúng lại trước khi thực hiện phân tích. Nếu việc ghép nối thành công, hệ thống sẽ hiển thị thông báo: "Đã ghép các đoạn TXT ‹detail› được trích dẫn trước khi kiểm tra bản ghi.".