DKIM 检查：域名用来给邮件签名的密钥
DKIM 让域名可以用发布在 DNS 中的密钥为邮件签名，这样收件方就能核实邮件确实来自该域名，并且没有被篡改。每个密钥都存放在一个叫作选择器的名称下。输入域名，如果你知道选择器，也一并输入；不输入选择器时，我们会尝试 33 个常见的选择器。
选择器就是该域名所发邮件中“DKIM-Signature”邮件头里“s=”的值。留空则尝试常见的选择器。
如何找到选择器
- 打开该域名发来的一封邮件，查看原始邮件或邮件头（在 Gmail 中：点按三个点图标，然后选择“显示原始邮件”）。
- 找到“DKIM-Signature”邮件头：“d=”是域名，“s=”是选择器，例如 s=selector1。
- 输入域名和选择器，然后点击“检查 DKIM”。不输入选择器时，我们会尝试 33 个常见的选择器，例如 default、google、selector1 或 k1。
各项结果的含义
- 该域名使用 DKIM 为邮件签名
- 我们找到了它的公钥：收件方可以核实它的邮件确实来自该域名，并且在传输途中没有被篡改。
- 有 DKIM 密钥，但存在警告
- 我们至少找到了一个密钥，但其中有些已停用、处于测试状态或强度太弱。详情见每个密钥下方。
- 常见选择器下没有 DKIM 密钥
- 这并不能证明该域名没有 DKIM：它可能使用了其他选择器。你可以在它发给你的邮件的“DKIM-Signature: s=”邮件头中找到。把它填入“选择器”，再检查一次。
- 该选择器下没有 DKIM 密钥
- 检查一下写法：选择器是“DKIM-Signature”邮件头中“s=”的值，域名是其中“d=”的值。
各项信号的含义
- 密钥为空（p=）：这个选择器已停用，不再为邮件签名。
- 密钥处于测试模式（t=y）：域名要求收件方在签名验证失败时不要采取行动。
- RSA 密钥短于 1024 位：可能被破解，很多收件方不接受。
- RSA 密钥为 1024 位：仍被接受，但建议使用 2048 位。
- 该密钥只允许 SHA-1，这是一种已不再被视为安全的旧算法。
- 密钥记录有错误，无法读取。
- 密钥类型既不是 RSA 也不是 Ed25519，因此收件方无法使用。
- 我们尝试的选择器下都没有密钥。
相关工具
覆盖哪些国家
适用于任何国家的域名。不输入选择器时，我们会尝试各大服务商（Google、Microsoft 365、Zoho、Proton、Fastmail、Mailchimp 等）的默认选择器以及常用的通用名称，共 33 个。密钥按照收件服务器的方式读取（RFC 6376）：RSA 和 Ed25519。
我们读取该域名公开的 DNS 记录。如果你输入的是邮箱地址或链接，只有其中的域名会离开你的浏览器。你查询的域名不会被保存。
常见问题
什么是 DKIM？
DomainKeys Identified Mail（域名密钥识别邮件）：发送服务器用私钥为每封邮件签名，域名在 DNS 中发布公钥。收件服务器会验证签名：如果匹配，就说明邮件来自该域名，并且在传输途中没有被更改。
什么是选择器？
发布密钥时所用的名称，位于 selector._domainkey.example.com。一个域名可以有多个选择器，每个服务商一个，或每次更换密钥一个。它会以“s=”的形式出现在每封邮件的“DKIM-Signature”邮件头中。
为什么域名使用了 DKIM，却找不到密钥？
选择器可以取任何名称，而 DNS 无法列出它们。我们会尝试 33 个常见的选择器；如果该域名使用的是其他选择器，请把它填入“选择器”。所以“未找到”并不能证明没有 DKIM。
1024 位和 2048 位是什么意思？
RSA 密钥的长度：越长越难破解。1024 位仍被接受，但推荐使用 2048 位。低于 1024 位时，很多收件方会忽略签名。