wiki/HowtoOpenDKIM.md

---
categories: email spam
title: Howto OpenDKIM
...

* Documentation : <http://opendkim.org/docs.html>
* opendkim.conf(5) : <http://opendkim.org/opendkim.conf.5.html>

[DKIM (DomainKeys Identified Mail)](https://fr.wikipedia.org/wiki/DomainKeys_Identified_Mail) est une norme qui décrit l'ajout d'une signature cryptographique dans les en-têtes d'un email envoyé.

DKIM signe les mails avec une clé privée stockée sur le serveur. La clé publique est mise à disposition dans un enregistrement DNS TXT et permet au destinataire de vérifier que le domaine contenu dans l'adresse d'expédition appartient bien à l'expéditeur.

La signature se fait à partir à de l'expéditeur contenu dans l'en-tête (`From:`), d'autres en-têtes au choix (sujet, date, etc.) et du corps du message.

[OpenDKIM](http://opendkim.org/) est logiciel libre permettant de vérifier et générer des signatures DKIM. Il implémente un service `milter` lui permettant notamment d'être utilisé avec [Postfix](HowtoPostfix).

La norme DKIM remplace DomainKey obsolète (utilisée à l'origine par Yahoo).


## Installation

~~~
# apt install opendkim opendkim-tools
# adduser opendkim ssl-cert
~~~


## Configuration

La configuration principale se trouve dans le fichier `/etc/opendkim.conf`.

**Note 1 : Attention, `/etc/opendkim.conf` et les fichiers dans `/etc/opendkim/` doivent appartenir à l'utilisateur et au groupe `opendkim`.**

**Note 2** : Depuis Debian 9, l'unité systemd charge seulement `/etc/opendkim.conf` et non plus `/etc/default/opendkim`.

Les options de configuration se combinent principalement sur deux modes :

* Configuration avec une seule clé privée (conseillé) :
    * Domain (liste des domaines acceptés)
    * KeyFile (clé privée)
    * Selector (nom de la clé dans l'enregistrement DNS)
    * Pas de KeyTable, ni de SigningTable
* Configuration par adresse ou domaine d'expédition, avec plusieurs clés privées :
    * KeyTable (liste des clés privées)
    * SigningTable (clés privées à utiliser en fonction de l'adresse `From:`)
    * Pas de Domain, ni KeyFile, ni de Selector.


### Configuration avec une seule clé privée (conseillé)

Générer une paire de clés avec le sélecteur `2022` (adapter à l'année de création) dans le répertoire `/etc/opendkim/keys/` :

~~~
mkdir /etc/opendkim/keys
sudo -u opendkim opendkim-genkey -h sha256 -b 4096 -D /etc/opendkim/keys/ -s 2022
~~~

Cela met la clé privée dans `/etc/opendkim/keys/2022.private`, et l'enregistrement DNS TXT contenant la clé publique dans `/etc/opendkim/keys/2022.txt`   

Créer les whitelistes :

~~~
# sudo -u opendkim vim /etc/opendkim/domains_whitelist
+ # Indiquez ici les domaines pour lesquels OpenDKIM va signer les mails.
# sudo -u opendkim vim /etc/opendkim/hosts_whitelist
+ # Indiquez ici les IPs/sous-réseaux des serveurs SMTP internes pour lesquels OpenDKIM va signer les mails.
+ 127.0.0.1
+ ::1
~~~

Ajuster la configuration générale dans `/etc/opendkim.conf` :

~~~
UserID                  opendkim:opendkim
Syslog                  yes
#SyslogSuccess          yes
#LogWhy                 yes
UMask                   007
Mode                    sv
OversignHeaders         From
#DisableADSP             true
Socket                  inet:8891@localhost
PidFile                 /var/run/opendkim/opendkim.pid

# Liste les IPs des serveurs SMTP internes pour lesquels OpenDKIM va signer les mails
InternalHosts           refile:/etc/opendkim/hosts_whitelist
ExternalIgnoreList      refile:/etc/opendkim/hosts_whitelist

# Clé privée (générée avec "sudo -u opendkim opendkim-genkey -h sha256 -b 4096 -D /etc/opendkim/keys/ -s 2022")
KeyFile                 /etc/opendkim/keys/2022.private
# Utilisé dans l'enregistrement DNS utilisé pour récupérer la clé publique ($selector._domainkey.$domain)
Selector                2022
# Liste des domaines pour lesquels OpenDKIM va signer les mails (accepte les regex)
Domain                  refile:/etc/opendkim/domains_whitelist
~~~

Enfin, lancer le service OpenDKIM :

~~~
systemctl start opendkim
systemctl status opendkim
~~~


#### Ajouter un domaine à OpenDKIM

Ajouter le texte contenu dans le fichier `/etc/opendkim/keys/2022.txt` aux enregistrements DNS du domaine.
Cela va rendre la clé publique accessible via un enregistrement TXT du sous-domaine `2022._domainkey.$domain`.

On peut vérifier avec :

~~~
host -t TXT 2022._domainkey.$domain
~~~

Puis, ajouter le domaine à la liste `/etc/opendkim/domains_whitelist` et redémarrer le service :

~~~
# /etc/opendkim/domains_whitelist
+ $domain
# systemctl restart opendkim
# systemctl status opendkim
~~~


### Configuration par adresse ou domaine d'expédition, avec plusieurs clés privées

~~~
# cat /etc/opendkim.conf
UserID                  opendkim:opendkim
Syslog                  yes
#SyslogSuccess          yes
#LogWhy                 yes
UMask                   007
InternalHosts           /etc/opendkim/dkim.peers
Mode                    sv
OversignHeaders         From
#DisableADSP             true
Socket                  inet:8891@localhost
PidFile                 /var/run/opendkim/opendkim.pid

KeyTable                refile:/etc/opendkim/KeyTable
SigningTable            refile:/etc/opendkim/SigningTable
~~~

Le fichier `SigningTable` contient la liste des domaines qui vont générer des signatures DKIM, et les sélecteurs associés.
Un **sélecteur** est un mot clé à choisir qui sera associé à la signature DKIM et servira notamment pour l'enregistrement DNS TXT qui stocke la clé publique.
Si l'on a plusieurs serveurs de messagerie, on pourra utiliser des sélecteurs différents, et donc des clés et un enregistrement DNS différents également.

~~~
*@example.com foo._domainkey.example.com
*@example.org bar2018._domainkey.example.org
~~~

Le fichier `KeyTable` contient les chemins vers les clés privées :

~~~
foo._domainkey.example.com example.com:foo:/etc/ssl/private/dkim_example.com.key
bar2018._domainkey.example.org example.org:bar2018:/etc/ssl/private/dkim_example.org.key
~~~

Pour générer les clés, on utilise la commande :

~~~
# opendkim-genkey -h sha256 -b 4096 -D /etc/ssl/private/ -d example.com -s foo -v
opendkim-genkey: generating private key
opendkim-genkey: private key written to foo.private
opendkim-genkey: extracting public key
opendkim-genkey: DNS TXT record written to foo.txt

# mv /etc/ssl/private/foo.private /etc/ssl/private/dkim_example.com.key
# chown opendkim:opendkim /etc/ssl/private/dkim_example.com.key
# chmod 640 /etc/ssl/private/dkim_example.com.key
~~~

Il faut ensuite publier l'enregistrement DNS à partir du fichier `/etc/ssl/private/foo.txt` généré, en ajoutant la ligne suivante dans la zone DNS du domaine en question :

~~~
foo._domainkey  IN      TXT     ( "v=DKIM1; h=sha256; k=rsa; "
          "p=MIICIjANBgkqhkiG9w0BAQEFAAOCAg8AMIICCgKCAgEAtdnoCyrwNyCAttQz0VaJq3cheWtki8KTfCwPu+QDcyv8IHLpQGK2UsEw03epEjTI/ijdyyVsElDPoqsCZ4+R3H5I41Vj8xcGLvqIaG3mbgOhcxuD+eEPR1K+JbSptwMiP/oja7VFyftQtx5XkQh8oj458WR/EE++SzjOGXOVmFYzf+LnNXJ/Rc0avAUPcTF1NmoU8IP52aKTvw"
          "nrbPFhIPkUyIR1/5k+5h4ZJqY+2h+JqDuol0E73Yl79rsF5ycjwLtBCPsz80jzCpOF5YHkDx0CYPyTKoIA3eZlgOVSJPmDYUWCrj/9k2bL/nSL5EJoB/X/kQcLRTy83dqf+gzWd850yP9vpUQQ2d+Z1hdlAFvzVMboSNz12+au7kAglXmN47l9Z8igxVWJfl7BEsegQF8gYPB4yepSW3DtfxBC5zCjLYYN1xXabf3wZfeCF6yOoQk1C2yN"
          "ThvBa4NyQDWizZGs4t9eHTR8QHMzJogPQQvyS45ILN1HHeikIQZP/lormmFQzq9X8sDGt4Edy8A3OMLjHom81tP6zxb4I8Pq0V4bEt4m4KA+K89A+b9cTD2Xr/wbqgQ1nwTcnEfGgBxbc3iRKkUnwhjeIocsxmwHqmDIVV8HKB5egUg8US/eo9al8w4JYEdzx9tETW/5dQOeLTMVw2N0/A7M9zVbBQEyuaMCAwEAAQ==" )  ; ----- DKIM key foo for example.com
~~~

On utilise le fichier `/etc/opendkim/dkim.peers` pour mettre la liste des adresses IP autorisées à envoyer des messages pour lesquels on va rajouter une signature DKIM (a priori des serveurs SMTP internes uniquement) :

~~~
127.0.0.1
::1
192.0.2.142
192.0.2.0/25
~~~

On ajuste les droits ainsi :

~~~
# chown -R opendkim:opendkim /etc/opendkim*
# chmod 640 /etc/opendkim.conf /etc/opendkim/*
# chmod 750 /etc/opendkim/
~~~

Et l'on peut enfin démarrer le démon :

~~~
# systemctl start opendkim

# opendkim -V | head -4
opendkim: OpenDKIM Filter v2.11.0
        Compiled with OpenSSL 1.1.0f  25 May 2017
        SMFI_VERSION 0x1000001
        libmilter version 1.0.1

# systemctl status opendkim
● opendkim.service - OpenDKIM DomainKeys Identified Mail (DKIM) Milter
   Loaded: loaded (/lib/systemd/system/opendkim.service; enabled; vendor preset: enabled)
     Docs: man:opendkim(8)
           man:opendkim.conf(5)
           man:opendkim-genkey(8)
           man:opendkim-genzone(8)
           man:opendkim-testadsp(8)
           man:opendkim-testkey
           http://www.opendkim.org/docs.html
  Process: 13917 ExecStart=/usr/sbin/opendkim -x /etc/opendkim.conf (code=exited, status=0/SUCCESS)
 Main PID: 13918 (opendkim)
    Tasks: 6 (limit: 7372)
   CGroup: /system.slice/opendkim.service
           └─13918 /usr/sbin/opendkim -x /etc/opendkim.conf
~~~


## Ajout dans Postfix

Pour configurer avec [Postfix](HowtoPostfix) on ajoute simplement les instructions suivantes dans le fichier `/etc/postfix/main.cf` :

~~~
smtpd_milters = inet:127.0.0.1:8891
non_smtpd_milters = inet:127.0.0.1:8891
#milter_default_action=accept
# Pour accélérer les signatures, pas d'attente pour contacter le milter
in_flow_delay = 0s
~~~

Cela entraînera l'ajout d'un en-tête `DKIM-Signature:` à tous les messages qui correspondent à la configuration d'OpenDKIM.

Si vous utilisez l'option `Mode sv` ou `Mode v` dans la configuration d'OpenDKIM, cela entraînera une vérification des signatures DKIM des emails reçus, et l'ajout d'un en-tête du type :

~~~
Authentication-Results: antispam.example.com; dkim=pass
        reason="1024-bit key; unprotected key"
        header.d=example.com header.i=@example.com header.b=lJ7oU+Kk;
        dkim-adsp=pass; dkim-atps=neutral
~~~


## Vérifications

### Vérifier la configuration

On peut vérifier que la configuration est correcte, notamment l'enregistrement DNS (si la commande ne renvoie rien, c'est que c'est OK) :

~~~
# opendkim-testkey -d example.com -s foo -k /etc/ssl/private/dkim_example.com.key -v
opendkim-testkey: /etc/ssl/private/dkim_example.com.key: WARNING: unsafe permissions
opendkim-testkey: key not secure
~~~

> *Note* : vous pouvez ignorer le warning des permissions si vous avez correctement ajusté les droits comme précisé plus haut

### Vérifier la signature DKIM d'un mail

Il faut envoyer un email de test avec un expéditeur d'en-tête correct. Par exemple, en ligne de commande :

~~~
$ telnet 127.0.0.1 25
HELO example.com
MAIL FROM: <noreply@example.com>
RCPT TO: <foo@example.org>
DATA
From: <noreply@example.com>
To: Foo <foo@example.org>
Subject: test DKIM

Ceci est un test
.
~~~

La source de l'email devrait avoir un en-tête supplémentaire du type :

~~~
DKIM-Signature: v=1; a=rsa-sha256; c=simple/simple; d=example.com; s=foo;
    t=1541094902; bh=xj6JF8HXzDkYeJ72cJNmx7FnTp5CeDo6y+MwRwIeNC4=;
    h=Date:From:To:Subject:From;
    b=lJ8oU+KkUBWEWVl/HpztFx5Hdv2rhqLP03JfJ1yqp3+TR3aZX+uOCI4MKqvonYzXM
     kHl4YYsYT7fSnuSaF48feGbGQ1AauGKd2x9UKcBEBQq2cGLG7ahfXph/SF5eh7/psL
     dXal6gCw6416bJQMBa9sb+zSA/9Avy3zQ0jGCALw=
~~~

Dans Thunderbird, le plugin `DKIM verifier` permet de vérifier les en-têtes DKIM des mails reçus.

Sinon, si vous avez accès à un email Gmail ou Yahoo, vous pouvez lui envoyer un email. En affichant le message original, vous pourrez vérifier la présence de `DKIM-Signature:`. Cela vous indiquera si la signature est correcte et acceptée.


### Vérifier via des services externes

* Vérifier (notamment) son enregistrement DNS pour DKIM : <https://toolbox.googleapps.com/apps/checkmx/> (2 premiers résultats à ignorer).

* Vérifier en envoyant un email vers un service externe : <https://dkimcore.org/tools/> ou <http://dkimvalidator.com/> ou <https://www.mail-tester.com/>.


## Monitoring

Il est important de s'assurer que le démon *opendkim* tourne en permanence.

### Nagios

Voici un check basique pour vérifier que le port TCP d'*opendkim* répond bien :

~~~
$ /usr/lib/nagios/plugins/check_tcp -H 127.0.0.1 -p 8891
~~~

### log2mail

Pour être alerté en cas de *warning: connect to Milter service inet:8891: Connection refused
on ajoute la configuration suivante au logiciel [log2mail](https://wiki.evolix.org/HowtoLog2mail) :

~~~
file = /var/log/syslog
  pattern = "warning: connect to Milter service inet:8891: Connection refused"
  mailto = alert@example.com
~~~


## FAQ

### opendkim: smfi_opensocket() failed

Si vous obtenez le message suivant au démarrage :

~~~
Starting OpenDKIM Milter: opendkim: smfi_opensocket() failed
~~~

C'est que la socket réseau est déjà occupée !


### ADSP (Author Domain Signing Practices)

**ADSP est désormais obsolète, et remplacé par la spécification [DMARC](https://fr.wikipedia.org/wiki/DMARC)

[ADSP](https://en.wikipedia.org/wiki/Author_Domain_Signing_Practices) est une extension à DKIM permettant d'indiquer le traitement à effectuer en cas de signature DKIM invalide ou absente.

Si l'on est sûr que tous les mails émis avec le nom de domaine utilisé sont bien signés avec DKIM, on peut l'indiquer via l'enregistrement DNS suivant, ce qui provoquera la pénalisation des emails sans signature :

~~~
_adsp._domainkey        IN      TXT "dkim=all"
~~~

On peut vérifier que l'enregistrement ADSP est bien pris en compte avec la commande suivante :

~~~
# opendkim-testadsp example.com
~~~


### Pas d'en-tête DKIM-Signature

Si vous ne constatez pas l'ajout de la signature DKIM, vérifiez votre configuration, vérifiez que vous utilisez bien un champ `From:` correct et correspondant à un domaine à signer.
Il peut aussi être intéressant d'activer les options suivantes dans `/etc/opendkim.conf` pour avoir davantage de logs :

~~~
Syslog                  yes
SyslogSuccess           yes
LogWhy                  yes
~~~


### Logs de vérification

Il peut être intéressant d'activer l'option suivante /etc/opendkim.conf` pour avoir des logs pour chaque signature vérifiée par *opendkim* :

~~~
LogResults true
~~~


### Requêtes DNS externes pour ADSP

Attention, par défaut OpenDKIM effectue ses vérifications ADSP en faisant de multiples requêtes DNS sans utiliser le resolver local,
ce qui qui peut provoquer des ralentissements notamment si cela n'est pas autorisé au niveau firewall.
Nous conseillons de désactiver ces vérifications qui sont obsolètes :

~~~
DisableADSP true
~~~


### Gmail/Google et DKIM

Informations de Gmail/Google à propos de DKIM : <https://support.google.com/a/answer/174124?hl=fr>.


### Problème de header (dkim-filter: no sender header found)

Avec dkim-filter, en Debian 7, il se peux que, suite a une règle de ce type dans postfix :

~~~
/^received:/ IGNORE
~~~

cela casse dkim-filter, car il ne vois pas si le sender est correct dans le header du mail, et donc il ne sais pas si c'est un domaine qu'il doit signé ou pas.


### Regenérer la zone DNS

Lorsqu'une clé a déjà été générée mais que le fichier contenant la zone DNS n'est plus disponible, il est possible de la régénérer avec la commande suivante :

~~~
opendkim-genzone -F -d example.com  /etc/opendkim/KeyTable
~~~