DKIM Selector Nedir, Birden Fazla Selector Nasıl Kullanılır?

E-posta altyapınızda DKIM imzası yapılandırırken karşılaştığınız dkim=fail hatalarının önemli bir bölümü yanlış veya çakışan selector tanımlarından kaynaklanır. Bu yazıda DKIM selector kavramını, DNS kaydının anatomisini ve birden fazla selector'ı güvenli biçimde nasıl yönetebileceğinizi adım adım açıklıyoruz.

DKIM'e Kısa Bir Bakış

DomainKeys Identified Mail (DKIM), RFC 6376 ile standartlaştırılmış bir e-posta kimlik doğrulama protokolüdür. Gönderen sunucu, belirlediği başlıkları ve gövdeyi özel anahtarla (private key) imzalar; alıcı sunucu ise DNS'ten alınan genel anahtarla bu imzayı doğrular. Başarılı bir doğrulama, iletinin aktarım sırasında değiştirilmediğini ve ilgili alan adı sahibinin onayladığı bir sunucudan gönderildiğini kanıtlar.

DMARC (RFC 7489) uyumu açısından değerlendirildiğinde, DKIM hizalaması From: başlığındaki alan adının d= etiketiyle örtüşmesini zorunlu kılar. SPF (RFC 7208) yalnızca zarfın gönderen adresini denetlerken DKIM, mesaj başlıklarını kapsayarak yönlendirme (forwarding) senaryolarında çok daha güvenilir bir doğrulama sunar.

Selector Nedir ve DNS'te Nerede Durur?

Bir DKIM TXT kaydının tam DNS adı şu şekilde oluşur:

<selector>._domainkey.<alanadiniz>

Örneğin mail._domainkey.sirketiniz.com. Burada mail selector adıdır. Bu ad tamamen sizin belirlediğiniz bir etikettir; RFC 6376 Bölüm 3.5, selector değerinin yalnızca ASCII alfasayısal karakterler ve tire (-) içerebileceğini, büyük-küçük harf duyarlı olmadığını ve nokta (.) ile birden fazla parçaya bölünebileceğini belirtir.

Bir DKIM genel anahtar kaydının tipik içeriği şöyle görünür:

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...

v=DKIM1 sürüm etiketidir; k=rsa anahtar algoritmasını (RSA veya Ed25519); p= ise Base64 kodlanmış genel anahtarın kendisini ifade eder. Kaydı iptal etmek istediğinizde p= değerini boş bırakmak yeterlidir; bu durumda alıcı MTA'lar söz konusu anahtarı geçersiz kabul eder.

Neden Birden Fazla Selector Gerekir?

Modern e-posta ekosisteminde tek bir alan adından birçok farklı sistem posta gönderebilir: kurumsal MTA'nız, e-posta pazarlama platformunuz (ESP), CRM'iniz, transaksiyonel bildirim servisleri ve belki üçüncü taraf iş ortakları. Her servisin kendi özel anahtarına sahip olması, şu avantajları beraberinde getirir:

• Anahtar yönetimi bağımsızlığı: Bir ESP ile çalışmayı bıraktığınızda o selector'ı DNS'ten silmeniz yeterlidir; diğer servislerin imza zinciri bozulmaz.
• Rotate kolaylığı: NIST SP 800-57 gibi kriptografik anahtar yönetim kılavuzları, RSA 2048-bit anahtarların düzenli aralıklarla (örneğin yılda bir) yenilenmesini önerir. Farklı selector'lar sayesinde mevcut trafiği kesmeden anahtar geçişi yapılabilir.
• Denetim ve sorun giderme: E-posta başlıklarındaki s= etiketine bakarak hangi sistemin imzaladığını anında anlarsınız.
• Güvenlik sınırlandırması: Bir özel anahtar tehlikeye girerse yalnızca o selector iptal edilir; saldırgan diğer servisleri taklit edemez.

DKIM Imzasında Selector Nasıl Taşınır?

Gönderen MTA, imzaladığı her mesajın başına DKIM-Signature: başlığını ekler. Bu başlıkta s= etiketi, kullanılan selector adını içerir:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
  d=sirketiniz.com; s=esp2025;
  h=From:To:Subject:Date:Message-ID;
  bh=47DEQpj8HBSa+/TImW+5JCeuQeRkm5NMpJWZG3hSuFU=;
  b=ABC123...

Alıcı MTA bu başlığı ayrıştırır, d=sirketiniz.com ve s=esp2025 değerlerini birleştirerek esp2025._domainkey.sirketiniz.com TXT kaydını sorgular. RFC 6376 Bölüm 6.1.2, bu sorgulama sürecini ve hata durumlarında uygulanacak TEMPFAIL / PERMFAIL politikalarını ayrıntıyla tanımlar.

Birden Fazla Selector Yapılandırma — Adım Adım

Aşağıda üç farklı gönderen sistem için selector planlaması ve DNS yapılandırması gösterilmektedir. Her sistemin kendi anahtar çiftini üretmesi veya sizin ürettiğiniz anahtarı kullanması gerekir.

1. Anahtar Çifti Üretimi

OpenSSL ile RSA 2048-bit anahtar çifti üretmek için:

openssl genrsa -out corp2025_private.pem 2048
openssl rsa -in corp2025_private.pem -pubout -out corp2025_public.pem

DNS TXT kaydına girecek genel anahtarı Base64 tek satır formatında almak için:

openssl rsa -in corp2025_private.pem -pubout -outform DER \
  | openssl base64 -A

Ed25519 için OpenSSL 1.1.1 ve üzeri gereklidir:

openssl genpkey -algorithm ed25519 -out trx2025_private.pem
openssl pkey -in trx2025_private.pem -pubout -outform DER \
  | openssl base64 -A

2. DNS TXT Kayıtlarını Oluşturma

DNS yönetim panelinizde her selector için ayrı bir TXT kaydı ekleyin. RFC 6376, tek bir TXT kaydında birden fazla dize (quoted string) kullanımına izin verir; ancak toplam uzunluk 255 karakteri aştığında bazı DNS sistemleri kaydı parçalara ayırır. Bu durumu önlemek için uzun anahtarları bölmeyi destekleyen bir DNS sağlayıcısı tercih edin veya anahtar uzunluğunu 2048 bit ile sınırlı tutun.

3. Postfix'te Selector Yapılandırması

OpenDKIM kullanan bir Postfix kurulumunda /etc/opendkim/KeyTable dosyasına şu satırları ekleyin:

corp2025._domainkey.sirketiniz.com  sirketiniz.com:corp2025:/etc/opendkim/keys/corp2025_private.pem

/etc/opendkim/SigningTable dosyasında ise:

*@sirketiniz.com  corp2025._domainkey.sirketiniz.com

Anahtar Geçişi (Key Rotation) En İyi Uygulamaları

Google Postmaster Tools belgelerinde ve Microsoft'un Exchange Online DKIM kılavuzunda anahtar rotasyonu iki aşamalı bir süreç olarak tanımlanır: önce yeni selector'ı yayımlayın ve en az 48 saat bekleyin (DNS TTL propagasyonu), ardından imzalamayı yeni selector'a geçirin. Eski selector'ı hemen silmeyin; çünkü bazı alıcı sunucular DNS önbelleklerinden eski kaydı okuyarak mesajları doğrulamaya çalışabilir. RFC 6376 Bölüm 6.1.1, bu geçiş sürecinde eski anahtarı en az birkaç gün (tercihen 5-7 gün) DNS'te tutmanızı önerir.

Microsoft 365 portalından DKIM anahtarı rotate etmek için PowerShell ile şu komutu kullanabilirsiniz:

Rotate-DkimSigningConfig -KeySize 2048 -Identity sirketiniz.com

DKIM Selector Doğrulama Araçları

Yapılandırmanızı test etmek için aşağıdaki araçlardan yararlanabilirsiniz:

• dig / nslookup: dig TXT corp2025._domainkey.sirketiniz.com komutuyla DNS kaydınızı doğrudan sorgulayabilirsiniz.
• MXToolbox DKIM Lookup: Web tabanlı arayüzüyle selector ve alan adı girerek kaydın varlığını ve sözdizimini kontrol eder.
• mail-tester.com: Test adresine gerçek bir mesaj göndererek uçtan uca DKIM, SPF ve DMARC sonuçlarını görürsünüz.
• Google Admin Toolbox — Check MX: Google altyapısının bakış açısından alan adı kayıtlarınızı analiz eder.
• opendkim-testkey: Komut satırından opendkim-testkey -d sirketiniz.com -s corp2025 -vvv ile yerel yapılandırma ile DNS'i karşılaştırır.

Yaygın Hatalar ve Çözümleri

E-posta başlıklarında dkim=fail (bad signature) görüyorsanız en sık karşılaşılan nedenler şunlardır: imzalama sırasında mesaj gövdesi veya başlıklarının değiştirilmesi (bazı listservler veya içerik filtreleri bunu yapabilir), yanlış c= kanonikleştirme algoritması seçimi (simple/simple yerine relaxed/relaxed tercih edin), ya da DNS kaydındaki genel anahtarın özel anahtarla eşleşmemesi.

dkim=permerror hatası çoğunlukla DNS TXT kaydının sözdizim hatasından kaynaklanır; özellikle p= değerinin boş bırakılması anahtarı geçersiz ilan eder. dkim=temperror ise DNS sorgulaması sırasında geçici bir hata yaşandığını gösterir ve alıcı MTA genellikle yeniden deneme (retry) mekanizmasıyla bunu çözer.

Sık Sorulan Sorular