Zkontrolovat DKIM

Účel

Zkontrolujte klíče DKIM domény: zadejte selektor, nebo nás nechte vyzkoušet ty nejběžnější, a podívejte se na typ každého klíče, jeho velikost v bitech a na to, zda je v testovacím režimu, nebo vyřazený.

Požadavky

Tyto návody může číst kdokoli, i bez účtu. Některé nástroje vyžadují Pro, jak uvádí příslušný návod.

DKIM umožňuje doméně podepisovat e-maily klíčem zveřejněným v DNS, aby příjemci mohli ověřit, že zpráva pochází z této domény a nebyla změněna. Každý klíč je uložený pod názvem, kterému se říká selektor. Zadejte doménu, a pokud ho znáte, i selektor; bez něj vyzkoušíme 33 běžných selektorů.

Jak používat

1. 1

   Otevřete e-mail odeslaný z dané domény a zobrazte jeho originál nebo hlavičky (v Gmailu: tři tečky a pak „Zobrazit originál“).

2. 2

   Najděte hlavičku „DKIM-Signature“: „d=“ je doména a „s=“ je selektor, například s=selector1.

3. 3

   Zadejte doménu a selektor a stiskněte „Zkontrolovat DKIM“. Bez selektoru vyzkoušíme 33 běžných, například default, google, selector1 nebo k1.

Smyšlený příklad

selector1._domainkey.example.com

Jak chápat výsledek

Doména podepisuje své e-maily pomocí DKIM: Našli jsme její veřejný klíč: příjemci mohou ověřit, že její zprávy pocházejí z této domény a cestou se nezměnily.

Klíče DKIM existují, ale s varováním: Našli jsme aspoň jeden klíč, ale některé jsou vyřazené, v testovacím režimu nebo příliš slabé. Podrobnosti najdete u každého klíče.

Na běžných selektorech není žádný klíč DKIM: To nedokazuje, že doména DKIM nemá: může používat jiný selektor. Najdete ho v hlavičce „DKIM-Signature: s=“ e-mailu, který vám z ní přišel. Zadejte ho do pole „Selektor“ a zkontrolujte znovu.

Na tomto selektoru není žádný klíč DKIM: Zkontrolujte, jak je napsaný: selektor je hodnota „s=“ v hlavičce „DKIM-Signature“ a doména je její hodnota „d=“.

Klíč je prázdný (p=): tento selektor je vyřazený a už e-maily nepodepisuje.

Klíč je v testovacím režimu (t=y): doména žádá příjemce, aby nijak nereagovali, když podpis neprojde.

Klíč RSA je kratší než 1024 bitů: dá se prolomit a mnoho příjemců ho nepřijímá.

Klíč RSA má 1024 bitů: stále se přijímá, ale doporučuje se 2048.

Klíč povoluje jen SHA-1, starý algoritmus, který se už nepovažuje za bezpečný.

Záznam klíče obsahuje chybu a nelze ho přečíst.

Typ klíče není RSA ani Ed25519, takže ho příjemci nemohou použít.

Omezení

Čteme veřejné záznamy DNS domény. Pokud zadáte e-mailovou adresu nebo odkaz, z vašeho prohlížeče odejde jen jeho doména. Doménu, kterou vyhledáváte, neukládáme.

Řešení potíží

To nevypadá jako veřejná doména. Zkuste něco jako example.com.

Selektor může obsahovat jen písmena, číslice, pomlčky, podtržítka a tečky.

DNS neodpověděl včas. Zkuste to znovu za pár sekund.

Provedli jste mnoho kontrol za sebou. Počkejte minutu a zkuste to znovu.

Použít přes API

Klíče DKIM domény na selektoru, nebo na zhruba 33 běžných selektorech, pokud žádný není zadán: typ každého klíče (rsa nebo ed25519), velikost v bitech a zda je v testovacím režimu, nebo odvolaný. none_found nedokazuje, že doména nemá DKIM: může používat jiný selektor. Nic se neukládá.

Pošli tělo JSON na vlastní cestu toolu, nebo na POST /v2/tools s přidaným polem tool. Obě cesty vrátí stejný výsledek.

POST https://api.nocall.io/v2/dkim-check
POST https://api.nocall.io/v2/tools  {"tool":"dkim-check","domain":"example.com","selector":"s1"}

REQUEST_ID="$(uuidgen)" && [ -n "$REQUEST_ID" ] &&
curl --request POST 'https://api.nocall.io/v2/dkim-check' \
  --header "Authorization: Bearer $NOCALL_API_KEY" \
  --header 'Content-Type: application/json' \
  --header "Idempotency-Key: $REQUEST_ID" \
  --data '{"domain":"example.com","selector":"s1"}'

import json
import os
import urllib.request
import uuid

api_key = os.environ.get('NOCALL_API_KEY')
if not api_key:
    raise SystemExit('Set NOCALL_API_KEY')

request = urllib.request.Request(
    'https://api.nocall.io/v2/dkim-check',
    method='POST',
    data=json.dumps({'domain': 'example.com', 'selector': 's1'}).encode(),
    headers={
        'Authorization': 'Bearer ' + api_key,
        'Content-Type': 'application/json',
        'Idempotency-Key': str(uuid.uuid4()),
    },
)
with urllib.request.urlopen(request, timeout=30) as response:
    result = json.load(response)
print(result['data']['result'], result['meta']['unitsCharged'])

import { randomUUID } from 'node:crypto';

const requestId = randomUUID();
const apiKey = process.env.NOCALL_API_KEY;
if (!apiKey) throw new Error('Set NOCALL_API_KEY');

const response = await fetch('https://api.nocall.io/v2/dkim-check', {
  method: 'POST',
  headers: {
    Authorization: 'Bearer ' + apiKey,
    'Content-Type': 'application/json',
    'Idempotency-Key': requestId,
  },
  body: JSON.stringify({ domain: 'example.com', selector: 's1' }),
});
const result = await response.json();
if (!response.ok) throw new Error(result.error?.code ?? 'request_failed');
console.log(result.data.result, result.meta.unitsCharged);

{
  "data": {
    "tool": "dkim-check",
    "result": {
      "domain": "example.com",
      "domainAscii": "example.com",
      "selectorGiven": true,
      "selectorsTried": 1,
      "keys": [
        {
          "selector": "s1",
          "keyType": "rsa",
          "keyBits": 2048,
          "testing": false,
          "revoked": false,
          "valid": true,
          "signals": []
        }
      ],
      "signals": [],
      "attention": false
    }
  },
  "meta": {
    "requestId": "req_example",
    "unitsCharged": 1,
    "usage": {
      "periodStart": "2026-10-01",
      "unitLimit": 20,
      "unitsUsed": 3,
      "unitsRemaining": 17
    }
  }
}

• Dokumentace API ↗

Často kladené otázky

Související návody

• Zkontrolovat DMARC
• Zkontrolovat SPF
• Je tento e-mail pravý?