Amazon SES: DKIM- ja SPF-käyttöönotto

Ennen kuin aloitat

Tarvitset pääsyn Amazon SES -konsoliin ja verkkotunnuksen example.com DNS-asetuksiin. SES-ohjeet, joiden pohjalta tämä ohje on kirjoitettu, eivät kerro, mitä IAM-oikeuksia konsolin vaiheet vaativat.

SES toimii AWS-alueittain. Amazonin mukaan vahvistustietueet ovat eri alueilla erilaiset. Jos lähetät postia verkkotunnuksesta example.com useammalla alueella, luo ja vahvista verkkotunnusidentiteetti jokaisella niistä.

Ota DKIM käyttöön

Amazon kutsuu tätä nimellä Easy DKIM. SES luo avaimen ja pyytää kolme CNAME-tietuetta. Amazonin ohjeet ovat englanniksi, joten valikoiden nimet ovat alla englanniksi.

Jos example.com ei vielä ole SES:ssä identiteettinä:

1. Avaa SES-konsoli osoitteessa https://console.aws.amazon.com/ses/.
2. Valitse navigointipaneelin kohdasta ”Configuration” ”Identities” ja sitten ”Create identity”.
3. Valitse kohdassa ”Identity details” ”Domain” ja kirjoita example.com. Älä lisää alkuun www., tai vahvistus epäonnistuu.
4. Kohdassa ”Verifying your domain” SES käyttää oletuksena Easy DKIMiä ja 2048-bittistä avainta. Jos haluat muuttaa sitä, avaa ”Advanced DKIM settings”.
5. Valitse ”Create identity”.

Jos example.com on jo identiteettinä, avaa se kohdasta ”Identities”. Valitse ”Authentication”-välilehden ”DomainKeys Identified Mail (DKIM)” -kohdasta ”Edit”. Valitse ”Advanced DKIM settings” -kohdasta ”Easy DKIM”, rastita ”DKIM signatures” -kohdan ”Enabled” ja valitse ”Save changes”.

Julkaise sitten tietueet:

1. Avaa identiteetin ”Authentication”-välilehdeltä ”Publish DNS records”.
2. Kopioi kolme CNAME-tietuetta tai valitse ”Download .csv record set”.
3. Lisää ne DNS-palveluntarjoajallesi. Jokaisen nimi on muotoa token._domainkey.example.com, ja arvo on tunniste ja sen perässä SES:n verkkotunnus, esimerkiksi token.dkim.us-west-2.amazonses.com. Käytä täsmälleen niitä nimiä, jotka SES näyttää. Älä lisää alaviivaa tunnisteen eteen.

Jos verkkotunnus example.com on Route 53:ssa samalla AWS-tilillä, SES voi julkaista tietueet puolestasi.

Allekirjoita omalla verkkotunnuksellasi

Amazonin mukaan SES lisää postiisi oman DKIM-allekirjoituksensa, jossa on d=amazonses.com. SES pitää sen, koska se tarvitsee sitä valituspalautteeseen (”complaint feedback loops”). Se allekirjoitus ei ole yhdenmukainen verkkotunnuksen example.com kanssa. Ota Easy DKIM käyttöön kohdan Ota DKIM käyttöön mukaan, niin SES allekirjoittaa postin myös verkkotunnuksella example.com. Silloin DKIM on yhdenmukainen.

Amazon huomauttaa, että erikseen vahvistettu sähköpostiosoite verkkotunnuksessa example.com käyttää omia asetuksiaan. Siitä osoitteesta lähtevä posti lähtee ilman verkkotunnuksen DKIMiä. Poista sähköpostiosoitteen identiteetti, jotta osoite käyttää verkkotunnuksen asetuksia.

Käytä omaa palautusverkkotunnusta

Oletuksena SES käyttää MAIL FROM -verkkotunnuksena, eli osoitteena, johon palautukset menevät, jotakin verkkotunnuksen amazonses.com aliverkkotunnusta. SPF läpäisee sillä verkkotunnuksella, mutta se ei ole yhdenmukainen verkkotunnuksen example.com kanssa. Amazon kutsuu omaa palautusverkkotunnusta nimellä custom MAIL FROM domain.

Valitse verkkotunnuksen example.com aliverkkotunnus, esimerkiksi bounce.example.com. Amazonin mukaan se ei saa olla aliverkkotunnus, josta lähetät tai jossa vastaanotat postia.

1. Valitse SES-konsolissa kohdasta ”Configuration” ”Identities” ja avaa example.com. Sen tilan on oltava ”Verified”.
2. Valitse ”Custom MAIL FROM domain” -kohdasta ”Edit”.
3. Valitse ”Use a custom MAIL FROM domain” ja kirjoita aliverkkotunnus kenttään ”MAIL FROM domain”.
4. Valitse kohdassa ”Behavior on MX failure” joko ”Use default MAIL FROM domain”, jolloin SES palaa verkkotunnukseen amazonses.com, tai ”Reject message”, jolloin lähetys pysähtyy, kun tietue puuttuu.
5. Valitse ”Save changes”.
6. Julkaise DNS-palveluntarjoajallasi kaksi tietuetta, jotka näkyvät kohdassa ”Publish DNS records”:

region on AWS-alue, esimerkiksi eu-west-1. Julkaise aliverkkotunnukselle täsmälleen yksi MX-tietue. Jos niitä on useampi, määritys epäonnistuu.

Amazon lisää, että SPF:n yhdenmukaisuus SES:n kautta vaatii DMARC-tietueeseesi väljän SPF-yhdenmukaisuuden. Se on oletus, kun tietueessasi ei ole aspf=s.

SPF

Amazonin mukaan SPF on valmiiksi kunnossa oletusarvoisessa MAIL FROM -verkkotunnuksessa, ja se läpäisee siellä. include:amazonses.com verkkotunnuksen example.com omassa SPF-tietueessa ei tee SES:n postista yhdenmukaista, koska SPF tarkistetaan MAIL FROM -verkkotunnuksesta. Jos haluat yhdenmukaisen SPF:n, käytä omaa MAIL FROM -verkkotunnusta kohdan Käytä omaa palautusverkkotunnusta mukaan. Sen SPF-tietue tulee aliverkkotunnukselle.

Tarkista DKIM-avain

Amazonin DKIM-vianmääritysohje luettelee nämä syyt:

1. DKIM-vahvistus jää odottamaan. Odota enintään 72 tuntia. Tarkista sitten CNAME-tietueiden nimet. Jotkin DNS-palveluntarjoajat lisäävät verkkotunnuksen example.com jokaisen nimen perään, jolloin token._domainkey.example.com muuttuu muotoon token._domainkey.example.com.example.com.
2. Postia ei allekirjoiteta verkkotunnuksella example.com. Tarkista, että DKIM on identiteetissä käytössä ja ettet lähetä erikseen vahvistetusta sähköpostiosoitteesta.
3. SES ilmoittaa, että DKIM-määrityksesi on peruttu tai perutaan. SES ei enää löydä CNAME-tietueita. Julkaise ne uudelleen viestissä annetussa ajassa, tai SES lopettaa DKIM-allekirjoituksen ja DKIM on määritettävä alusta.
4. Kaksi DKIM-allekirjoitusta. Ylimääräinen, jossa on d=amazonses.com, tulee SES:ltä. Amazonin mukaan sen voi jättää huomiotta.

Tarkista, että se toimii

1. Identiteetin ”Authentication”-välilehdellä DKIM-määrityksen tila on ”Successful” ja identiteetin tila ”Verified”. Amazonin mukaan DNS-muutokset voivat kestää 72 tuntia.
2. Oman MAIL FROM -verkkotunnuksen kohdalla SES lähettää sähköpostia, kun se löytää MX-tietueen. Siihen asti tila on ”Pending”, ja sen jälkeen ”Success”. Jos tietuetta ei löydy 72 tunnissa, tilaksi tulee ”Failed”, ja määritys on aloitettava alusta.
3. Useimmat postilaatikkopalvelut lähettävät yhden raportin päivässä. Seuraavien 24–48 tunnin raporteista näet, ovatko Amazon SES:n DKIM ja SPF yhdenmukaisia.

Amazonin ohjeet: Creating and verifying identities, Easy DKIM, Using a custom MAIL FROM domain ja DKIM problems.