Verificar DKIM: as chaves com que um domínio assina o seu email
O DKIM permite a um domínio assinar o seu email com uma chave publicada no DNS, para que os servidores de receção verifiquem que uma mensagem vem desse domínio e não foi alterada. Cada chave fica sob um nome chamado seletor. Introduz um domínio e, se o souberes, o seletor; sem ele, experimentamos 33 seletores habituais.
O seletor é o valor «s=» do cabeçalho «DKIM-Signature» de um email enviado por esse domínio. Deixa-o vazio para experimentar os habituais.
Como encontrar o seletor
- Abre um email enviado por esse domínio e mostra o original ou os cabeçalhos (no Gmail: os três pontos e «Mostrar original»).
- Procura o cabeçalho «DKIM-Signature»: «d=» é o domínio e «s=» é o seletor, por exemplo s=selector1.
- Escreve o domínio e o seletor e carrega em «Verificar DKIM». Sem seletor, experimentamos 33 habituais, como default, google, selector1 ou k1.
O que significa cada resultado
- O domínio assina o seu email com DKIM
- Encontrámos a sua chave pública: os servidores de receção podem verificar que as suas mensagens vêm deste domínio e não foram alteradas pelo caminho.
- Há chaves DKIM, com avisos
- Encontrámos pelo menos uma chave, mas alguma está retirada, em testes ou é demasiado fraca. Tens os detalhes debaixo de cada chave.
- Nenhuma chave DKIM nos seletores habituais
- Isso não prova que o domínio não use DKIM: pode usar outro seletor. Encontras o seletor no cabeçalho «DKIM-Signature: s=» de um email que esse domínio te tenha enviado. Escreve-o em «Seletor» e volta a verificar.
- Nenhuma chave DKIM nesse seletor
- Confirma como está escrito: o seletor é o valor «s=» do cabeçalho «DKIM-Signature», e o domínio é o seu valor «d=».
O que significa cada sinal
- A chave está vazia (p=): este seletor está retirado e já não assina email.
- A chave está em modo de testes (t=y): o domínio pede aos servidores de receção que não atuem se a assinatura falhar.
- A chave RSA tem menos de 1024 bits: pode ser quebrada e muitos servidores de receção não a aceitam.
- A chave RSA tem 1024 bits: ainda é aceite, mas recomenda-se 2048.
- A chave só admite SHA-1, um algoritmo antigo que já não é considerado seguro.
- O registo da chave tem um erro e não pode ser lido.
- O tipo de chave não é RSA nem Ed25519, por isso os servidores de receção não a podem usar.
- Não há nenhuma chave nos seletores que experimentámos.
Ferramentas relacionadas
Que países abrange
Funciona com domínios de qualquer país. Sem seletor, experimentamos os predefinidos dos grandes fornecedores (Google, Microsoft 365, Zoho, Proton, Fastmail, Mailchimp e outros) e os nomes genéricos habituais, 33 no total. As chaves são lidas como o fazem os servidores de receção (RFC 6376): RSA e Ed25519.
Lemos os registos DNS públicos do domínio. Se escreveres um endereço de email ou uma ligação, só o seu domínio sai do teu navegador. Não guardamos o domínio que consultas.
Perguntas frequentes
O que é o DKIM?
DomainKeys Identified Mail: o servidor que envia assina cada email com uma chave privada e o domínio publica a chave pública no DNS. O servidor que o recebe verifica a assinatura: se bater certo, o email vem desse domínio e não foi alterado pelo caminho.
O que é um seletor?
O nome sob o qual uma chave é publicada, em selector._domainkey.example.com. Um domínio pode ter vários, um por fornecedor ou por cada mudança de chave. Aparece como «s=» no cabeçalho «DKIM-Signature» de cada email.
Porque é que não encontra nenhuma chave se o domínio usa DKIM?
Os seletores podem ter qualquer nome e o DNS não permite listá-los. Experimentamos 33 habituais; se o domínio usar outro, escreve-o em «Seletor». Por isso, «não encontrada» não prova que não haja DKIM.
O que significam 1024 e 2048 bits?
O tamanho da chave RSA: quanto mais longa, mais difícil de quebrar. Uma chave de 1024 bits ainda é aceite, mas o recomendado são 2048. Abaixo de 1024, muitos servidores de receção ignoram a assinatura.