Salesforce: DKIM- ja SPF-käyttöönotto

Ennen kuin aloitat

Tämä ohje koskee Salesforce-sovelluksesta lähetettävää postia. Salesforcen mukaan Marketing Cloudilla ja Pardotilla on omat SPF- ja DKIM-ohjeensa.

DKIM-avaimet ovat käytettävissä kaikissa Salesforce-versioissa paitsi Database.comissa. Niiden hallinta vaatii käyttöoikeuden Sovelluksen mukautusoikeus (”Customize Application”). Tarvitset myös pääsyn verkkotunnuksen example.com DNS-asetuksiin.

Salesforce vaatii, että vahvistat jokaisen verkkotunnuksen, josta lähetät postia. Aktiivinen DKIM-avain vahvistaa verkkotunnuksen example.com. Jokainen aliverkkotunnus tarvitsee oman avaimensa.

Ota DKIM käyttöön

Luot avaimen Salesforcessa, julkaiset kaksi CNAME-tietuetta ja aktivoit sitten avaimen. Valikoiden nimet ovat alla sellaisina kuin Salesforcen suomenkielinen ohje ne näyttää. Salesforce kutsuu verkkotunnusta toimialueeksi.

1. Käytä Määritykset-valikon Pikahaku-kenttää ja valitse DKIM-avaimet. Napsauta Luo uusi avain.
2. Valitse RSA-avaimen koko. Salesforce suosittelee 2048-bittistä.
3. Kirjoita valitsimeksi enintään 62 kirjaimen, numeron ja väliviivan nimi, esimerkiksi example-sf-a. Kirjoita vaihtoehtoiseksi valitsimeksi toinen nimi, esimerkiksi example-sf-b. Salesforce käyttää vaihtoehtoista valitsinta avainten kierrätykseen.
4. Kirjoita toimialueeksi example.com. Et voi muokata sitä tallentamisen jälkeen.
5. Kirjoita toimialueen täsmäyskuvioksi example.com. Salesforce ei suosittele yleismerkkejä tähän kenttään.
6. Tallenna. Avain on aluksi Ei-aktiivinen.

Salesforce julkaisee avaimet yleensä 15 minuutissa. Avaa avain napsauttamalla sen valitsinta DKIM-avainten luettelossa. Kun kentät CNAME-tietue ja Vaihtoehtoinen CNAME-tietue tulevat näkyviin, lisää molemmat DNS-palveluntarjoajallesi. Salesforcen esimerkki valitsimille example-sf-a ja example-sf-b:

Arvosi ovat erilaiset. Kopioi ne Salesforcesta.

Kun DNS on päivittynyt, DKIM-avaimen lisätietosivulla näkyy vihreä valintamerkki ja Aktivoi-painike. Sitten:

1. Valitse Määritykset-valikon Pikahaku-kentästä DKIM-avaimet.
2. Napsauta avaimen vierestä Muokkaa.
3. Napsauta Aktivoi ja sitten vahvistusikkunasta OK.

Salesforce kierrättää avaimen 30 päivän välein, eikä se vaadi DNS-muutoksia.

Allekirjoita omalla verkkotunnuksellasi

Salesforce allekirjoittaa DKIM-avaimella, kun lähettävä verkkotunnus vastaa avaimen toimialueen täsmäyskuviota. Salesforcen mukaan DKIM:n yhdenmukaisuus epäonnistuu, kun avaimen toimialue ei vastaa lähettäjäosoitteen verkkotunnusta. Luo ja aktivoi avain verkkotunnukselle example.com ja jokaiselle aliverkkotunnukselle, josta lähetät, kohdan Ota DKIM käyttöön mukaan.

Käytä omaa palautusverkkotunnusta

Salesforcen toimitettavuusasetukset ”Activate bounce management” ja ”Enable compliance with standard email security mechanisms” vaihtavat kirjekuoren lähettäjäksi Salesforcen osoitteen, esimerkiksi sampleemail=salesforce.com__abc123@abc123.bnc.salesforce.com. Silloin SPF ei ole yhdenmukainen verkkotunnuksen example.com kanssa. Salesforcen ohjeet, joiden pohjalta tämä ohje on kirjoitettu, eivät kuvaa asetusta, joka siirtäisi osoitteen verkkotunnuksen example.com alle.

Salesforcen ensisijainen ratkaisu on aktiivinen DKIM-avain verkkotunnukselle example.com kohdan Ota DKIM käyttöön mukaan. Silloin DMARC läpäisee DKIMin avulla, ja palautusten käsittelyn voi pitää käytössä.

Jos et voi määrittää DKIM-avainta, Salesforcen vaihtoehto on SPF ja molempien asetusten poistaminen käytöstä. Tämä Salesforcen ohje on vain englanniksi, joten valikoiden nimet ovat alla englanniksi:

1. Kirjoita Setupin Quick Find -kenttään ”Email” ja valitse ”Deliverability”. Salesforce Classicissa kirjoita sen sijaan ”Email Administration”.
2. Poista valinnat ”Activate bounce management” ja ”Enable compliance with standard email security mechanisms”.
3. Napsauta ”Save”.

SPF

Salesforce-sovelluksesta lähetettävän postin include on _spf.salesforce.com. Lisää se verkkotunnuksen example.com SPF-tietueeseen, esimerkiksi v=spf1 mx include:_spf.salesforce.com ~all. Salesforce pyytää käyttämään vain tätä merkintää. Muut salesforce.comin SPF-tietueet ovat muihin tarkoituksiin. Sijoita muiden postipalveluiden includet sen eteen.

SPF voi olla yhdenmukainen vain, kun molemmat kohdan Käytä omaa palautusverkkotunnusta toimitettavuusasetukset ovat pois käytöstä.

Tarkista DKIM-avain

Jos päivitit DNS:n yli 72 tuntia sitten etkä voi aktivoida avainta, lataa ensin DKIM-avaimen lisätietosivu uudelleen, sillä se ei päivity itsestään. Vertaa sitten CNAME-tietueita sivun arvoihin. Salesforce luettelee nämä yleiset virheet:

1. CNAME-tietueessa on kirjoitusvirhe.
2. Vain toinen kahdesta CNAME-tietueesta on julkaistu.
3. Tietue käyttää eri verkkotunnusta kuin avain. Kun avain on verkkotunnukselle sales.example.com, nimen on oltava example-sf-a._domainkey.sales.example.com eikä example-sf-a._domainkey.example.com.

Tarkista, että se toimii

1. DKIM-avaimet-luettelossa verkkotunnuksen example.com avain on aktiivinen.
2. Salesforcen mukaan DNS-muutokset voivat kestää 72 tuntia.
3. Useimmat postilaatikkopalvelut lähettävät yhden raportin päivässä. Seuraavien 24–48 tunnin raporteista näet, onko Salesforcen DKIM yhdenmukainen. Mailmoni-palvelun DNS-välilehden DKIM-taulukossa näkyvät Salesforce-valitsimesi, kun ne ovat mukana jossakin raportissa.

Salesforcen ohjeet: DKIM-avaimen luominen, Aktivoi DKIM-avain, SPF and DKIM alignment fails ja Salesforce SPF records.