Verifica DKIM di Amazon SES "Pending" o "Failed": come risolvere

Cosa significa

Quando aggiungi un dominio ad Amazon SES con Easy DKIM, SES ti fornisce tre record CNAME e li cerca nel tuo DNS pubblico. Finché non li trova tutti e tre, l'identità del dominio non è verificata e SES non firma le tue email con DKIM (DomainKeys Identified Mail, una firma digitale che dimostra che il messaggio proviene dal tuo dominio). Lo stato DKIM può essere:

• PENDING: SES non ha ancora trovato i record.
• SUCCESS: i record sono stati trovati; la firma è attiva.
• FAILED: SES ha rinunciato, di solito perché non ha trovato i record.
• TEMPORARY_FAILURE: un problema DNS temporaneo impedisce a SES di eseguire il controllo.
• NOT_STARTED: la verifica non è mai stata avviata.

SES cerca i record per un massimo di 72 ore. Trascorso questo tempo, un dominio ancora non trovato passa a Failed.

Perché succede

• Nome di dominio raddoppiato. Molti pannelli DNS aggiungono automaticamente il tuo dominio. Se incolli abc123._domainkey.yourdomain.com come nome, il record reale diventa abc123._domainkey.yourdomain.com.yourdomain.com. Consulta record DNS aggiunto con il nome sbagliato.
• Record creati come TXT invece che CNAME, oppure con il valore troncato, o senza la parte finale .dkim.amazonses.com.
• Sono stati aggiunti solo uno o due dei tre record.
• Proxy attivo. Su Cloudflare un CNAME con proxy (nuvola arancione) non viene restituito come CNAME; consulta i record con proxy di Cloudflare bloccano l'email.
• Zona DNS sbagliata. Hai modificato la zona presso il tuo registrar, ma il dominio usa altri name server (il tuo hosting, Cloudflare, Route 53...).
• Un'altra Region o un altro account. DKIM si configura per Region e per account AWS. I record creati per una Region non verificano l'identità in un'altra, a meno che tu non usi la funzione che replica le chiavi tra Region.

Come verificare

Nella console SES apri Identities, scegli il tuo dominio e guarda la sezione DKIM: elenca i tre record esatti. Hanno questo aspetto (i token sono unici per te):

Name:  abc123token1._domainkey.yourdomain.com
Type:  CNAME
Value: abc123token1.dkim.amazonses.com

Interroga ciascun nome da un terminale. Una risposta corretta restituisce la destinazione dkim.amazonses.com:

dig +short CNAME abc123token1._domainkey.yourdomain.com
abc123token1.dkim.amazonses.com.

dig +short NS yourdomain.com

Il secondo comando mostra quali name server ospitano davvero la tua zona. Puoi anche lanciare lo scanner di dominio di Delivmail sul tuo dominio per vedere i record DNS così come li vede il resto del mondo. Dalla CLI, aws sesv2 get-email-identity --email-identity yourdomain.com mostra DkimAttributes.Status e i token attesi.

Come risolvere

1. Copia i tre record esattamente. Usa i pulsanti di copia o Download .csv record set. Se il tuo pannello aggiunge da solo il dominio, inserisci come nome solo abc123token1._domainkey.
2. Usa il tipo CNAME e, su Cloudflare, imposta i record su DNS only.
3. Modifica la zona giusta: quella servita dai name server restituiti da dig NS.
4. Se il dominio è su Route 53 nello stesso account AWS, SES può pubblicare i record al posto tuo.
5. Aspetta. La maggior parte dei provider pubblica in pochi minuti, ma SES può impiegare fino a 72 ore per accorgersene. Abbassare il TTL non accelera il primo controllo di un record appena creato. Consulta propagazione DNS e TTL.
6. Se lo stato è Failed, correggi prima i record, poi riavvia la verifica. AWS consiglia di riprovare dalla console una volta che i record si risolvono; un metodo molto usato è disattivare e riattivare la firma DKIM per l'identità, oppure eliminare e ricreare l'identità (questo genera nuovi token, quindi devi pubblicare i nuovi record).

Se usi BYODKIM (la tua chiave) invece di Easy DKIM, SES cerca un record TXT su selector._domainkey.yourdomain.com. La chiave privata deve essere RSA a 1024 o 2048 bit, codificata in base64, e la chiave pubblica nel DNS non deve avere intestazione, piè di pagina né a capo.

Quando DKIM funziona, pensa anche all'indirizzo di bounce: per impostazione predefinita SES usa un dominio MAIL FROM amazonses.com, quindi SPF non è allineato con il tuo dominio. Consulta dominio MAIL FROM personalizzato per l'allineamento DMARC.

Verifica che sia risolto

La console dovrebbe mostrare l'identità come Verified e DKIM come Successful. Poi invia un messaggio tramite SES al tuo indirizzo unico nella home page di Delivmail. Il report dovrebbe mostrare una firma DKIM valida con d=yourdomain.com. Vedrai anche una seconda firma con d=amazonses.com: SES la aggiunge di proposito ed è innocua. Se ricevi un'email da SES che annuncia la revoca della tua configurazione DKIM, significa che i record sono stati rimossi: rimettili prima della scadenza indicata nell'email.