Installeren DKIM met extern gegenereerd sleutelpaar

[herelder]

Bij het implementeren van DKIM gaat DSM ervan uit dat je de DKIM sleutel door DSM laat genereren. In dat geval gaat alles goed, omdat DSM:
- de PUBLIC key (die je in de DNS opneemt zodat de ontvanger de handtekening kan controleren) én
- de PRIVATE key (die de Mailserver gebruikt om de handtekening te generen) configureert.

Wil je een buiten DSM gegenereerde DKIM sleutel gebruiken (zoals ik, omdat ik een 2048bits key ipv 1024bits wil toepassen) dan kun je in de GUI alleen de PUBLIC KEY registreren. Maar je zult ook de PRIVATE KEY moeten installeren, want daarzonder kan MailServer geen geldige handtekening zetten.

De private key zul je dus handmatig, via de terminal, moeten plaatsen. Ga als volgt te werk (met dank aan Briolet)

1. Ga in de GUI naar MailServer>Beveiliging tabblad Verificatie; schakel DKIM uit.
2. Open een terminal sessie op je Synology en:

Code: [Selecteer]

sudo -i.
cd /usr/syno/etc/packages/MailServer
cp -Rp dkim.key oudedkimkey
cd dkim.key
rm dkim.*
openssl genrsa -out dkim.private 2048
openssl rsa -in dkim.private -pubout -out dkim.public
chmod 600 *
3a. Ga naar de GUI. Verlaat MailServer>Beveiliging, en ga weer naar MailServer>Beveiliging>Verificatie.
3b. Vink DKIM aan. In het openbare sleutelvak vind je nu de sleutel die in stap 2 werd gegenereerd in de exacte vorm waarin die naar de DNS moet.  Controleer dit.
3c. Vul de gewenste selectornaam in en geef OK.
3d. Schakel DKIM vervolgens direct weer uit.
4. Zorg dat in de DNS een DKIM-record komt voor de selectornaam uit 3c, met in de p-tag exact de waarde van het sleutelvak uit 3b.
5. Schakel DKIM in zodra het DNS-record er is.

Vervolgens kun je testen. Houd er rekening mee dat het wel een uurtje kan duren voor de alle email-providers de DNS/DKIM wijziging verwerkt hebben, bij GMAIL bijvoorbeeld kan het best een uurtje duren.

[Briolet]

Mooi, want je kunt ook geen grotere sleutel instellen in de config file van OpenDKIM.

Ik zou echter nooit een externe website gebruiken voor het genereren van een private key. Heb je echt alle scripts van die webpagina doorgelopen om te verifiëren dat die private key in de browser gegenereerd wordt en niet op de server van de website?

Een private key maak je altijd locaal. b.v. met OpenSSL of LibreSSL.

Een methode met OpenSSL vind je hier

Wat neerkomt op de volgende twee commando's:

Code: [Selecteer]

openssl genrsa -out dkim.private 2048
openssl rsa -in dkim.private -pubout -out dkim.public
Dit is zelfs minder werk dan die externe website en veel veiliger.

[herelder]

Je hebt helemaal gelijk, Briolet. Ik heb eea aangepast in mijn bericht. Dank!