Kontrola DKIM: klíče, kterými doména podepisuje své e-maily
DKIM umožňuje doméně podepisovat e-maily klíčem zveřejněným v DNS, aby příjemci mohli ověřit, že zpráva pochází z této domény a nebyla změněna. Každý klíč je uložený pod názvem, kterému se říká selektor. Zadejte doménu, a pokud ho znáte, i selektor; bez něj vyzkoušíme 33 běžných selektorů.
Selektor je hodnota „s=“ v hlavičce „DKIM-Signature“ e-mailu odeslaného z dané domény. Nechte pole prázdné a vyzkoušíme ty běžné.
Jak najít selektor
- Otevřete e-mail odeslaný z dané domény a zobrazte jeho originál nebo hlavičky (v Gmailu: tři tečky a pak „Zobrazit originál“).
- Najděte hlavičku „DKIM-Signature“: „d=“ je doména a „s=“ je selektor, například s=selector1.
- Zadejte doménu a selektor a stiskněte „Zkontrolovat DKIM“. Bez selektoru vyzkoušíme 33 běžných, například default, google, selector1 nebo k1.
Co znamená každý výsledek
- Doména podepisuje své e-maily pomocí DKIM
- Našli jsme její veřejný klíč: příjemci mohou ověřit, že její zprávy pocházejí z této domény a cestou se nezměnily.
- Klíče DKIM existují, ale s varováním
- Našli jsme aspoň jeden klíč, ale některé jsou vyřazené, v testovacím režimu nebo příliš slabé. Podrobnosti najdete u každého klíče.
- Na běžných selektorech není žádný klíč DKIM
- To nedokazuje, že doména DKIM nemá: může používat jiný selektor. Najdete ho v hlavičce „DKIM-Signature: s=“ e-mailu, který vám z ní přišel. Zadejte ho do pole „Selektor“ a zkontrolujte znovu.
- Na tomto selektoru není žádný klíč DKIM
- Zkontrolujte, jak je napsaný: selektor je hodnota „s=“ v hlavičce „DKIM-Signature“ a doména je její hodnota „d=“.
Co znamená každý signál
- Klíč je prázdný (p=): tento selektor je vyřazený a už e-maily nepodepisuje.
- Klíč je v testovacím režimu (t=y): doména žádá příjemce, aby nijak nereagovali, když podpis neprojde.
- Klíč RSA je kratší než 1024 bitů: dá se prolomit a mnoho příjemců ho nepřijímá.
- Klíč RSA má 1024 bitů: stále se přijímá, ale doporučuje se 2048.
- Klíč povoluje jen SHA-1, starý algoritmus, který se už nepovažuje za bezpečný.
- Záznam klíče obsahuje chybu a nelze ho přečíst.
- Typ klíče není RSA ani Ed25519, takže ho příjemci nemohou použít.
- Na žádném z vyzkoušených selektorů není klíč.
Související nástroje
Které země pokrývá
Funguje s doménami z jakékoli země. Bez selektoru vyzkoušíme výchozí selektory velkých poskytovatelů (Google, Microsoft 365, Zoho, Proton, Fastmail, Mailchimp a dalších) a obvyklé obecné názvy, celkem 33. Klíče čteme stejně jako přijímající servery (RFC 6376): RSA a Ed25519.
Čteme veřejné záznamy DNS domény. Pokud zadáte e-mailovou adresu nebo odkaz, z vašeho prohlížeče odejde jen jeho doména. Doménu, kterou vyhledáváte, neukládáme.
Časté dotazy
Co je DKIM?
DomainKeys Identified Mail: odesílající server podepíše každý e-mail soukromým klíčem a doména zveřejní veřejný klíč v DNS. Přijímající server podpis ověří: pokud sedí, e-mail pochází z této domény a cestou se nezměnil.
Co je selektor?
Název, pod kterým je klíč zveřejněný, na adrese selector._domainkey.example.com. Doména jich může mít několik, jeden pro každého poskytovatele nebo pro každou výměnu klíče. V hlavičce „DKIM-Signature“ každého e-mailu se objevuje jako „s=“.
Proč nástroj nenajde klíč, i když doména DKIM používá?
Selektory mohou mít jakýkoli název a DNS neumožňuje jejich výpis. Vyzkoušíme 33 běžných; pokud doména používá jiný, zadejte ho do pole „Selektor“. Proto „nenalezeno“ nedokazuje, že DKIM chybí.
Co znamená 1024 a 2048 bitů?
Velikost klíče RSA: čím delší, tím hůř se prolamuje. 1024 bitů se stále přijímá, ale doporučuje se 2048. Pod 1024 bitů mnoho příjemců podpis ignoruje.