Google Workspace: DKIM- ja SPF-käyttöönotto

Ennen kuin aloitat

Kirjaudu Googlen hallintakonsoliin (”Google Admin console”) järjestelmänvalvojana, jolla on ”super administrator” -rooli. Gmailin asetuksiin tarvitset lisäksi Gmail-asetusten järjestelmänvalvojan oikeuden (”Gmail Settings administrator privilege”).

Kun olet ottanut Gmailin käyttöön organisaatiossasi, Google pyytää odottamaan 24–72 tuntia ennen DKIM-avaimen luomista. Jos luot avaimen aiemmin, saatat saada virheen, jonka mukaan DKIM-tietuetta ei luotu.

Tarvitset myös pääsyn verkkotunnuksen example.com DNS-asetuksiin. Ne ovat yleensä siinä yrityksessä, josta ostit verkkotunnuksen.

Ota DKIM käyttöön

Googlen ohjeessa on kolme osaa: luo avain, julkaise se ja käynnistä todennus. Googlen ohjesivut ovat englanniksi, joten valikoiden nimet ovat alla englanniksi.

1. Siirry Googlen hallintakonsolissa kohtaan ”Apps” > ”Google Workspace” > ”Gmail”.
2. Napsauta ”Authenticate email” ja valitse ”Selected domain” -valikosta example.com.
3. Napsauta ”Generate New Record”. Valitse 2048-bittinen avain, jos DNS-palveluntarjoajasi tukee sitä, ja muuten 1024-bittinen.
4. Pidä valitsimena google, joka on Googlen oletus. Valitse toinen vain, jos verkkotunnuksella example.com on jo avain valitsimella google.
5. Napsauta ”Generate”. Älä vielä napsauta ”Start authentication”.
6. Lisää DNS-palveluntarjoajallasi TXT-tietue. Sen nimi on Googlen näyttämä ”DNS Host name”, yleensä google._domainkey. Arvo on ”TXT record value”, joka alkaa v=DKIM1.
7. Palaa ”Authenticate email” -sivulle, valitse example.com ja napsauta ”Start authentication”.

DKIM voi alkaa toimia vasta 48 tunnin kuluttua. Kun se toimii, sivun yläosassa lukee ”Authenticating email with DKIM”. Hallintakonsoli voi näyttää ilmoitusta ”You must update the DNS records for this domain” jopa 48 tuntia. Jos tietue on paikallaan, voit jättää ilmoituksen huomiotta.

Jos käytät useampaa verkkotunnusta, toista vaiheet jokaiselle. Google antaa jokaiselle verkkotunnukselle oman avaimen.

Allekirjoita omalla verkkotunnuksellasi

Raporttien mukaan Google Workspacen posti on DKIM-allekirjoitettu muulla verkkotunnuksella kuin example.com. DMARC ottaa DKIMin huomioon vain, kun allekirjoittava verkkotunnus on example.com tai sen aliverkkotunnus. Luo verkkotunnukselle example.com avain ja käynnistä todennus kohdan Ota DKIM käyttöön mukaan.

Tarkista DKIM-avain

Googlen vianmääritysohje luettelee nämä tarkistukset:

1. Valitse ”Authenticate email” -sivulla example.com. Jos DNS-isäntänimi ja TXT-tietueen arvo ovat tyhjiä, verkkotunnuksella example.com ei vielä ole avainta. Luo se.
2. Vertaa nimessä google._domainkey.example.com olevaa TXT-tietuetta hallintakonsolin arvoon. Jokaisen merkin on täsmättävä.
3. Useimmat DNS-palveluntarjoajat sallivat 255 merkkiä yhteen TXT-merkkijonoon. 2048-bittinen avain on pidempi, joten se on ehkä jaettava kahdeksi lainausmerkein rajatuksi merkkijonoksi. Katkennut avain ei toimi.
4. Jos tila on ”Not authenticating”, napsauta ”Start authentication”.

SPF

Google ohjeistaa Workspacelle yhden includen: include:_spf.google.com. Jos Google Workspace on ainoa palvelu, joka lähettää postia verkkotunnuksen example.com nimissä, tietue on:

v=spf1 include:_spf.google.com ~all

Google suosittelee loppua ~all. Jos verkkotunnuksella example.com on jo SPF-tietue, lisää include:_spf.google.com siihen äläkä lisää toista tietuetta. Verkkotunnuksella voi olla vain yksi SPF-tietue. Googlen mukaan SPF voi alkaa toimia vasta 48 tunnin kuluttua.

Tarkista, että se toimii

1. ”Authenticate email” -sivulla lukee ”Authenticating email with DKIM”.
2. Lähetä viesti jollekulle, joka käyttää Gmailia. Et voi testata lähettämällä viestiä itsellesi. Avaa viesti Gmailissa, valitse ”More” > ”Show original” ja etsi kohta dkim=pass, jossa on d=example.com.
3. Useimmat postilaatikkopalvelut lähettävät yhden raportin päivässä. Seuraavien 24–48 tunnin raporteista näet, onko Google Workspacen DKIM yhdenmukainen. Mailmoni-palvelun DNS-välilehden DKIM-taulukossa näkyy valitsin google, kun se on mukana jossakin raportissa.

Googlen ohjeet: Set up DKIM, Troubleshoot DKIM issues ja Set up SPF.