Defaults.Exposed › Διορθώσεις › Guides

DKIM Αποτυγχάνει Μετά από Αλλαγή Εργαλείων Email: Ο Οδηγός Μετακίνησης CNAME και Selector (2026)

Δημοσιεύτηκε 2026-07-08

Στοιχεία ως 2026-06-29 · μεθοδολογία v7. Συγκεντρωτικά στοιχεία απογραφής για 261 εκατομμύρια βαθμολογημένα domains. Δείτε πώς βαθμολογούμε.

Το DKIM σπάει μετά από αλλαγή εργαλείου για δύο μηχανικούς λόγους: το DNS panel σας παραποίησε τους στόχους CNAME του νέου εργαλείου — συνήθως προσαρτώντας τη δική σας ζώνη — ή οι selectors παλιού εργαλείου αφαιρέθηκαν πριν αποχετευτεί το email του. Μόνο 3.87% των domains — 10,092,481 — ολοκληρώνουν την τριάδα SPF+DKIM+DMARC, σύμφωνα με την απογραφή Defaults.Exposed των 261,086,232 βαθμολογημένων domains.

Η σειρά διόρθωσης: σαρώστε το domain, στη συνέχεια ελέγξτε τον αποθηκευμένο στόχο κάθε νέου CNAME με dig — ένας στόχος που τελειώνει στο δικό σας domain name είναι το καπνισμένο πιστόλι. Επισκευάστε τις εγγραφές στους authoritative nameservers, επιβεβαιώστε ότι το νέο εργαλείο υπογράφει και περνά πριν δρομολογήσετε πραγματικό email μέσα από αυτό, και διατηρήστε δημοσιευμένους τους selectors παλιού εργαλείου μέχρι να αποχετευτεί η κίνησή του.

Γιατί έσπασε το DKIM όταν αλλάξατε εργαλεία;

Τίποτα για το ίδιο το DKIM δεν άλλαξε — οι selectors σας άλλαξαν. Το παλιό εργαλείο υπέγραφε με τους selectors του· το νέο υπογράφει με διαφορετικούς, συνήθως εκχωρημένους μέσω δύο ή τριών εγγραφών CNAME που προστίθενται κατά το onboarding. Τέσσερα ζητήματα αντιστοιχούν σε σχεδόν κάθε αποτυχία DKIM μετά-μετακίνηση:

1. Το DNS panel σας πρόσθεσε τη ζώνη στον στόχο CNAME. Πολλά panels αντιμετωπίζουν οποιοδήποτε επικολλημένο hostname ως σχετικό και αποθηκεύουν σιωπηλά target.provider.com.yourdomain.com αντί για target.provider.com. Η εγγραφή υπάρχει, το panel δείχνει πράσινη ένδειξη, και δεν επιλύεται σε τίποτα.
2. Σύγχυση trailing-dot. Ορισμένα panels απαιτούν trailing dot (target.provider.com.) για να σημαίνει “absolute — μην προσάρτα τη ζώνη μου”· άλλα απορρίπτουν την τελεία ως άκυρη. Η ίδια επικολλημένη τιμή είναι σωστή σε ένα panel και παραποιημένη στο επόμενο.
3. Οι selectors παλιού εργαλείου διαγράφηκαν την ημέρα της αλλαγής. Το email που υπέγραψε ήδη το παλιό εργαλείο βρίσκεται σε ουρές επανάληψης και διαδρομές προώθησης για ημέρες· η αφαίρεση των selectors του — ή το κλείσιμο του παλιού λογαριασμού, που σκοτώνει τα εκχωρημένα CNAMEs — σπάει αυτό το email αναδρομικά.
4. Επαληθεύσατε στους λάθος nameservers. Αν η μετακίνηση περιλάμβανε αλλαγή nameserver, οι διορθωμένες εγγραφές μπορεί να υπάρχουν σε ένα NS set ενώ οι παραλήπτες εξακολουθούν να κάνουν ερώτημα στο άλλο.

Μόνο 51.84% από τα 261 εκατομμύρια domains στην απογραφή παρουσιάζουν ανιχνεύσιμο κλειδί DKIM κατά τη σάρωση (δεδομένα ως 2026-06-29).

Η ίδια μετακίνηση συνήθως αφήνει επίσης “σκουπίδια” SPF — 1,013,416 domains, περίπου 1 στα 138 από αυτά που επιχειρούν SPF, εκτελούν δύο εγγραφές v=spf1, το κλασικό σημάδι ότι μια αλλαγή παρόχου πρόσθεσε εγγραφή αντί να συγχωνεύσει μία. Αυτή η πλευρά της μετακίνησης έχει τον δικό της οδηγό: SPF που σταμάτησε να λειτουργεί μετά την αλλαγή παρόχου email.

Πώς εντοπίζω παραποιημένη εγγραφή CNAME;

Μην εμπιστευτείτε το panel — ρωτήστε το DNS τι αποθήκευσε πραγματικά. Κάντε ερώτημα για τον στόχο CNAME κάθε selector που σας έδωσε το νέο εργαλείο. Ενδεικτικό παράδειγμα, που μιμείται selector εκχωρημένο τύπου SendGrid (ο τύπος στόχου του παρόχου σας θα διαφέρει):

$ dig CNAME s1._domainkey.yourdomain.com +short
s1.domainkey.u1234567.wl123.sendgrid.net.yourdomain.com.

Ο πάροχος ζήτησε s1.domainkey.u1234567.wl123.sendgrid.net — αλλά ο αποθηκευμένος στόχος τελειώνει σε .yourdomain.com. Το panel πρόσθεσε τη ζώνη· αυτό το όνομα δεν επιλύεται σε τίποτα, οπότε οι παραλήπτες δεν βρίσκουν κλειδί. Η υγιής έκδοση:

$ dig CNAME s1._domainkey.yourdomain.com +short
s1.domainkey.u1234567.wl123.sendgrid.net.

(Μία trailing dot στην έξοδο dig είναι φυσιολογική — επισημαίνει ένα πλήρως-εξαρτημένο όνομα.) Αν ο στόχος είναι σωστός, ακολουθήστε τον ένα hop: dig TXT s1._domainkey.yourdomain.com +short πρέπει να επιστρέψει το κλειδί του παρόχου. Κενή απάντηση με σωστό CNAME σημαίνει ότι το πρόβλημα βρίσκεται στην πλευρά του παρόχου της εκχώρησης — ολοκληρώστε το βήμα επαλήθευσης τους, ή δείτε DKIM “no key for signature” για τη διάγνωση επιπέδου selector.

Το εγχειρίδιο μετακίνησης: πριν, κατά τη διάρκεια, μετά

Η αποτυχία συνήθως δεν είναι οι εγγραφές — είναι η σειρά. Οι μετακινήσεις DKIM πάνε στραβά κατά την εναλλαγή γιατί η επαλήθευση γίνεται μετά από την αλλαγή, όταν πραγματικό email αποτυγχάνει ήδη.

Η γραμμή με έντονη γραφή είναι εκεί που οι μετακινήσεις σώζονται ή χάνονται: κάθε έλεγχος σε αυτήν μπορεί να γίνει ημέρες πριν από την εναλλαγή, με μηδενικό κίνδυνο για ζωντανό email. Η μηχανική συνταξιοδότησης selectors — συμπεριλαμβανομένου γιατί η επανεκδόση με κενό p= υπερτερεί της διαγραφής — καλύπτεται στο εγχειρίδιο rotation· αυτός ο πίνακας αφορά την αλληλουχία της ίδιας της αλλαγής εργαλείου.

Πώς διορθώνω το DKIM μετά την αλλαγή;

1. Εκτελέστε τη δωρεάν σάρωση στο defaults.exposed πριν αλλάξετε οτιδήποτε στο DNS. Διαβάζει τις ζωντανές εγγραφές σας και δείχνει τι βλέπουν πραγματικά οι παραλήπτες — συμπεριλαμβανομένων στόχων CNAME που ζωνο-προσαρτήθηκαν και selectors που δεν επιλύονται.
2. Καταγράψτε τις εγγραφές DKIM που αναμένει το νέο εργαλείο. Από την κονσόλα διαχείρισής του — για παρόχους γραμματοκιβωτίου, οι οδηγοί ρύθμισης Google Workspace και Microsoft 365 δείχνουν πού· εργαλεία newsletter και CRM αναφέρουν τα CNAMEs τους κάτω από επικύρωση domain (δείτε emails Mailchimp/Brevo/Klaviyo που αποτυγχάνουν στο DMARC).
3. Ελέγξτε κάθε αποθηκευμένη τιμή εγγραφής με dig CNAME <name> +short και συγκρίνετε χαρακτήρα-χαρακτήρα με αυτό που ζήτησε το εργαλείο. Στόχος που τελειώνει στο δικό σας domain = ζωνο-προσαρτημένος· ξανα-εισάγετέ τον, και αν το panel συνεχίζει να προσαρτά, προσθέστε την trailing dot (ή αφαιρέστε την, αν το panel απορρίπτει τελείες).
4. Επαληθεύστε στους authoritative nameservers. dig +short NS yourdomain.com, στη συνέχεια επαναλάβετε τους ελέγχους CNAME @<αυτός ο nameserver>. Αν η μετακίνηση άλλαξε nameservers, ελέγξτε και τα δύο sets — οι παραλήπτες μπορεί να κάνουν ακόμα ερώτημα στον παλιό μέχρι να γίνει propagation της εκχώρησης.
5. Επαναλάβετε την επαλήθευση του εργαλείου και στείλτε δοκιμαστικό μήνυμα. Η κεφαλίδα Authentication-Results πρέπει να δείχνει dkim=pass με d= ίσο με το domain σας — ένα pass στο προεπιλεγμένο domain του εργαλείου δεν ευθυγραμμίζεται για DMARC.
6. Αφήστε τους selectors παλιού εργαλείου δημοσιευμένους μέχρι να αποχετευτεί το email του, στη συνέχεια συνταξιοδοτήστε τους σκόπιμα. Επανεκτελέστε σάρωση, και διορθώστε οτιδήποτε άλλο επισημαίνεται στη σελίδα διόρθωση DKIM.

Συχνές ερωτήσεις

Χρειάζεται η trailing dot στο DKIM CNAME μου ή όχι; Εξαρτάται εντελώς από το panel. Η τελεία σημαίνει “absolute name — μην προσαρτάς τη ζώνη μου”· ορισμένα panels την απαιτούν, ορισμένα την προσθέτουν για εσάς, ορισμένα την απορρίπτουν. Η μόνη δοκιμή που μετράει είναι η έξοδος του dig CNAME <selector>._domainkey.yourdomain.com +short μετά από αποθήκευση: αν ο στόχος τελειώνει στο δικό σας domain, το panel πρόσθεσε τη ζώνη και χρειάζεστε την τελεία (ή διαφορετική μορφή εισαγωγής).

Μπορώ να διαγράψω τις εγγραφές DKIM παλιού εργαλείου την ημέρα της αλλαγής; Όχι. Το email που υπέγραψε το παλιό εργαλείο βρίσκεται ακόμα σε ουρές επανάληψης και διαδρομές προώθησης, και η διαγραφή του κλειδιού στο οποίο δείχνει σπάει αυτά τα μηνύματα αναδρομικά. Διατηρήστε τους παλιούς selectors ζωντανούς μέχρι να σταματήσουν να εμφανίζονται στις αναφορές συγκεντρωτικών DMARC σας — μία εβδομάδα ή παραπάνω — και μη κλείσετε τον παλιό λογαριασμό πριν από τότε.

Το DNS panel μου και το νέο εργαλείο λένε και τα δύο “verified”, αλλά οι παραλήπτες εξακολουθούν να αποτυγχάνουν στο DKIM. Πώς; Δύο συνηθισμένες περιπτώσεις: το εργαλείο επαλήθευσε έναντι cached ελέγχου ενώ οι authoritative nameservers εξυπηρετούν κάτι άλλο (κάντε ερώτημα απευθείας με dig @<ns>), ή ο DKIM περνά αλλά στο προεπιλεγμένο signing domain του εργαλείου αντί για το δικό σας, οπότε το DMARC εξακολουθεί να αποτυγχάνει σε ευθυγράμμιση. Η σάρωση ξεχωρίζει τις δύο.

Μπορούν οι εγγραφές DKIM και των δύο εργαλείων να συνυπάρχουν κατά τη διάρκεια της επικάλυψης; Ναι — και πρέπει. Το DKIM δεν έχει κανόνα μίας-εγγραφής: κάθε selector είναι το δικό του DNS name, οπότε οι εγγραφές και των δύο εργαλείων ζουν δίπλα-δίπλα χωρίς σύγκρουση, κάτι που καθιστά τον κανόνα keep-old-selectors-through-the-drain ελεύθερο να ακολουθηθεί. (Ο SPF είναι το αντίθετο — δύο εγγραφές v=spf1 τον ακυρώνουν, γι’ αυτό ο οδηγός μετακίνησης SPF αφορά συγχώνευση.)

Στείλτε στον ιδιοκτήτη την αναφορά

Αν εκτελείτε αυτή τη μετακίνηση για έναν πελάτη ή τον εργοδότη σας, κλείστε την με αποδείξεις. Μόλις το νέο εργαλείο υπογράφει και ευθυγραμμίζεται, επανεκτελέστε τη δωρεάν σάρωση και προωθήστε τη βαθμολογημένη αναφορά στον ιδιοκτήτη: με ημερομηνία, σε απλή γλώσσα που αποδεικνύει ότι η αλλαγή άφησε το domain πλήρως επικυρωμένο. Είναι το τεκμήριο που θα χρειαστούν για την ανανέωση ασφάλισης κυβερνοεπιθέσεων και το επόμενο ερωτηματολόγιο ασφάλειας προμηθευτών — μετατρέπει το “η μετακίνηση ολοκληρώθηκε” από ισχυρισμό σε έγγραφο.

Ελέγξτε το DKIM σας δωρεάν

Δείτε αν οι selectors του νέου εργαλείου σας επιλύονται — και ακριβώς τι να διορθώσετε — ιδιωτικά και μόνο για τον ιδιοκτήτη.

Ελέγξτε το domain σας → · SPF έσπασε μετά από αλλαγή παρόχου → · Διόρθωση DKIM → · Ρύθμιση DKIM σε Google Workspace → · Μόνο συγκεντρωτικά δεδομένα. Δεδομένα αποθηκευμένα και επεξεργασμένα στην ΕΕ.