Microsoft 365: DKIM- ja SPF-käyttöönotto

Ennen kuin aloitat

Työskentelet kahdessa paikassa: Microsoft Defender -portaalissa osoitteessa https://security.microsoft.com ja verkkotunnuksen example.com DNS-asetuksissa. Microsoftin DKIM-ohje ei kerro, mikä järjestelmänvalvojan rooli tähän tarvitaan.

Microsoftin mukaan se ei allekirjoita DKIMillä omasta verkkotunnuksesta, kuten example.com, lähtevää postia ennen kuin otat sen käyttöön. Alkuperäisestä *.onmicrosoft.com-osoitteesta lähtevä posti allekirjoitetaan sillä verkkotunnuksella automaattisesti. Jokainen postia lähettävä aliverkkotunnus tarvitsee oman DKIM-määrityksensä.

Ota DKIM käyttöön

Microsoft 365 käyttää kahta CNAME-tietuetta, yhtä kullekin valitsimelle. Nimet ovat kaikissa organisaatioissa samat: selector1._domainkey ja selector2._domainkey. Arvot ovat organisaatiokohtaisia, joten kopioi ne portaalista. Microsoftin ohje on englanniksi myös suomenkielisellä sivustolla, joten valikoiden nimet ovat alla englanniksi.

1. Siirry Defender-portaalissa kohtaan ”Email & collaboration” > ”Policies & rules” > ”Threat policies” > ”Email authentication settings”. Suora linkki on https://security.microsoft.com/authentication.
2. Valitse ”DKIM”-välilehti.
3. Siirrä verkkotunnuksen example.com rivillä ”Toggle”-kytkin tilasta ”Disabled” tilaan ”Enabled”. Näkyviin tulee ”Client error” -ikkuna, jossa ovat tietueiden arvot. Valitse ”OK”.
4. Verkkotunnuksen example.com tila (”Status”) on nyt ”CnameMissing”. Avaa sen tiedot napsauttamalla riviä, ei kytkintä.
5. Kopioi ”Publish CNAMEs” -osion kaksi tietuetta. Jätä tiedot auki.
6. Luo molemmat CNAME-tietueet DNS-palveluntarjoajallasi. Microsoftin esimerkkiarvo verkkotunnukselle contoso.com on selector1-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft. Sinun arvossasi on oma verkkotunnuksesi ja organisaatiosi.
7. Palaa muutaman minuutin kuluttua tietoihin ja kytke päälle ”Sign messages for this domain with DKIM signatures”.

Kun Microsoft löytää tietueet, tilana lukee ”Signing DKIM signatures for this domain”. Tietueiden havaitseminen voi kestää muutaman minuutin tai kauemmin.

Allekirjoita omalla verkkotunnuksellasi

Raporttien mukaan Microsoft 365:n posti on DKIM-allekirjoitettu muulla verkkotunnuksella kuin example.com, esimerkiksi onmicrosoft.com-verkkotunnuksellasi. DMARC ottaa DKIMin huomioon vain, kun allekirjoittava verkkotunnus on example.com tai sen aliverkkotunnus. Ota DKIM käyttöön verkkotunnukselle example.com kohdan Ota DKIM käyttöön mukaan.

Tarkista DKIM-avain

Microsoftin vianmääritysosio luettelee yleisimmät virheet:

1. Nimi kahteen kertaan. Kirjoita isäntänimeksi vain selector1._domainkey. Moni DNS-palveluntarjoaja lisää verkkotunnuksen example.com itse, jolloin koko nimestä tulee selector1._domainkey.example.com.example.com.
2. Vain yksi tietue. Luo sekä selector1 että selector2. Microsoft käyttää toista niistä, kun se vaihtaa avainta.
3. TXT CNAMEn sijaan. Julkisen avaimen sisältävä TXT-tietue ei toimi Microsoft 365:ssä. Poista se ja luo CNAME-tietue.
4. Lyhyt TTL. Microsoft suosittelee molemmille tietueille vähintään 3600 sekunnin TTL-arvoa.

Kun valitset verkkotunnuksen tiedoista ”Rotate DKIM keys”, Microsoft alkaa allekirjoittaa uudella avaimella neljän päivän eli 96 tunnin kuluttua. Molempien CNAME-tietueiden on pysyttävä paikallaan.

SPF

Useimmat Microsoft 365 -organisaatiot tarvitsevat includen include:spf.protection.outlook.com. Jos Microsoft 365 on ainoa palvelu, joka lähettää postia verkkotunnuksen example.com nimissä, Microsoft ohjeistaa tämän tietueen:

v=spf1 include:spf.protection.outlook.com -all

Microsoft suosittelee loppua -all, kun myös DKIM ja DMARC ovat käytössä. Verkkotunnuksella voi olla vain yksi SPF-tietue. Jos verkkotunnuksella example.com on jo sellainen, lisää include siihen. Microsoftin mukaan SPF-tietue, joka vaatii yli 10 DNS-hakua, epäonnistuu virheellä permerror, ja jokainen include vaatii vähintään yhden haun.

Tarkista, että se toimii

1. ”DKIM”-välilehdellä verkkotunnuksen example.com tilana lukee ”Signing DKIM signatures for this domain”.
2. Lähetä viesti osoitteeseen toisessa sähköpostipalvelussa. Microsoft neuvoo olemaan käyttämättä AOLia tähän testiin. Etsi viestin otsakkeista DKIM-Signature-kentästä d=example.com ja Authentication-Results-kentästä dkim=pass.
3. Useimmat postilaatikkopalvelut lähettävät yhden raportin päivässä. Seuraavien 24–48 tunnin raporteista näet, onko Microsoft 365:n DKIM yhdenmukainen. Mailmoni-palvelun DNS-välilehden DKIM-taulukossa näkyy selector1 tai selector2, kun se on mukana jossakin raportissa.

Microsoftin ohjeet: DKIM for your custom domain ja SPF for your domain.