Phoenix Mailдокументация

Ключи DKIM и ротация

Ключ DKIM подписывает исходящие письма. Если он утечёт, его надо заменить, не потеряв доставку. Здесь — где ключи лежат и как их менять.

Где лежат

ls /opt/mailnode/state/keys/домен/
private.key   # приватный, права 600, владелец opendkim
public.pem    # публичный, из него собирается TXT-запись

Ключи входят в экспорт и в бэкап, поэтому при переезде подпись не меняется.

Посмотреть запись для DNS

mailnode dkim show example.ru

Панель показывает то же самое на вкладке «Домены», кнопкой «Скопировать».

Плановая ротация

  1. Создайте новый ключ с новым селектором: 
    mailnode dkim rotate example.ru --selector mail2
    Старый ключ остаётся в каталоге rotated-mail-ГГГГММДД-ЧЧММСС.
  2. Добавьте в DNS новую TXT-запись mail2._domainkey.example.ru. Старую пока не удаляйте.
  3. Подождите сутки: получатели кэшируют записи.
  4. Удалите старую запись mail._domainkey.

Внеплановая: ключ утёк

Порядок тот же, но без ожидания: сразу новый селектор, новая запись в DNS, а старую удалить через час. Письма, подписанные старым ключом, уже ушли, их не вернуть; важна дальнейшая подпись.

Проверка

mailnode selftest | grep -i ключ
opendkim-testkey -d example.ru -s mail2 -k /opt/mailnode/state/keys/example.ru/private.key -vv

Если в ответе «No key» — записи ещё нет в DNS; если «key OK» — всё на месте.