最后就可以成功地申請到自己的免費證書(shū)了

由于驗證時(shí)間一般需要1-24小時(shí)不等，所以下面就不進(jìn)行展示了

如何正確設置DKIM

什么是DKIM，DKIM代表DomainKeys Identified Email。它提供了一種方法來(lái)驗證發(fā)送電子郵件的組織是否有權這樣做。DKIM需要在DNS區域中添加公鑰。關(guān)鍵是通常由發(fā)送您的電子郵件，例如組織提供給您SendGrid，郵戳。密鑰將作為T(mén)XT記錄直接插入您的區域，或者它將是指向提供商DNS中密鑰的CNAME。我在做這篇Blog時(shí)發(fā)現一個(gè)問(wèn)題，就是關(guān)于在DNS中加入CNAME時(shí)，有些DNS提供商不能夠使用下劃線(xiàn)開(kāi)頭，提示主機名類(lèi)型不符。

SES創(chuàng )建的記錄是CNAME而不是TXT記錄，因此SES可以托管簽名密鑰。通過(guò)托管簽名密鑰，SES可以自動(dòng)輪換簽名憑據并降低任何密鑰泄漏的風(fēng)險。

某些DNS提供商不支持添加包含下劃線(xiàn)的CNAME記錄，盡管RFC特別允許這樣做。但是，DKIM規范要求記錄名稱(chēng)中的下劃線(xiàn)，因此刪除下劃線(xiàn)不是一種選擇。下劃線(xiàn)是記錄名稱(chēng)中唯一不受SES或其客戶(hù)控制的部分。

雖然在Internet標準中不允許在dnsNames中使用下劃線(xiàn)字符，但在TLS / SSL證書(shū)的SAN字段中使用時(shí)，也一直被視為灰色區域。如果在咱們的DNS商中發(fā)生此類(lèi)事件的話(huà)，可以使用以下的方法進(jìn)行解決：

第一種 解決方案可以更改DNS提供商。Amazon Web Services提供名為Amazon Route 53的可擴展域名服務(wù)，該服務(wù)遵循RFC強加的標準并允許SES生成的CNAME記錄。使用SES與Route 53集成。如果您在Route 53上使用與SES相同的AWS賬戶(hù)設置域名，則可以通過(guò)一鍵式過(guò)程設置域驗證和DKIM。

第二種 方法是使用子域（例如我們的例子中的sales.ses-example.com）進(jìn)行電子郵件發(fā)送，并將其委托給DNS提供商，例如Amazon Route 53，它正確地允許CNAME記錄中的下劃線(xiàn)。然后，您可以使用與在主域上執行的相同步驟在子域上執行域驗證和DKIM驗證過(guò)程。電子郵件將被DKIM簽名，但"發(fā)件人"地址將包含子域（在我們的例子中，"發(fā)件人"地址將是<any-local-part> @ sales.ses-example.com）。

第三種 選擇使用自己進(jìn)行簽名。這將使您完全控制密鑰和簽名過(guò)程，但實(shí)現和維護需要更多的工作。

最后，您可以找DNS提供商，讓他們在RFC允許的CNAME記錄中正確支持添加對下劃線(xiàn)。

對于我們的域名，我們假設我們的DNS提供商已經(jīng)啟用了對CNAME記錄中下劃線(xiàn)的支持，現在我們可以安全地添加DKIM文檔中指定的所需DNS條目。通過(guò)此步驟，我們現在等待SES向我們發(fā)送確認電子郵件，并在SES控制臺中將域的DKIM驗證狀態(tài)從Pending更改為已驗證，這將確認CNAME記錄是否存在。