Tjek DKIM: de nøgler, et domæne signerer sine e-mails med

Med DKIM kan et domæne signere sine e-mails med en nøgle, der er offentliggjort i DNS, så modtagerservere kan tjekke, at en besked kommer fra domænet og ikke er blevet ændret. Hver nøgle ligger under et navn, der kaldes en selektor. Skriv et domæne og, hvis du kender den, selektoren; uden selektor prøver vi 33 almindelige selektorer.

Tilføj som foretrukken kilde Hent påGoogle Play Hent påApp Store

Selektoren er værdien »s=« i headeren »DKIM-Signature« i en e-mail, der er sendt fra domænet. Lad feltet stå tomt for at prøve de almindelige.

Sådan finder du selektoren

Åbn en e-mail, der er sendt fra domænet, og vis originalen eller headerne (i Gmail: de tre prikker og derefter »Vis oprindelig«).
Find headeren »DKIM-Signature«: »d=« er domænet, og »s=« er selektoren, for eksempel s=selector1.
Skriv domænet og selektoren, og tryk på »Tjek DKIM«. Uden selektor prøver vi 33 almindelige, for eksempel default, google, selector1 eller k1.

Hvad hvert resultat betyder

Domænet signerer sine e-mails med DKIM: Vi fandt dets offentlige nøgle: modtagerservere kan tjekke, at dets beskeder kommer fra dette domæne og ikke er blevet ændret undervejs.
Der er DKIM-nøgler, med advarsler: Vi fandt mindst én nøgle, men nogle er trukket tilbage, i test eller for svage. Detaljerne står under hver nøgle.
Ingen DKIM-nøgle hos de almindelige selektorer: Det beviser ikke, at domænet ikke har DKIM: det kan bruge en anden selektor. Du finder den i headeren »DKIM-Signature: s=« i en e-mail, domænet har sendt dig. Skriv den i »Selektor«, og tjek igen.
Ingen DKIM-nøgle hos den selektor: Tjek stavemåden: selektoren er værdien »s=« i headeren »DKIM-Signature«, og domænet er dens værdi »d=«.

Hvad hvert signal betyder

Nøglen er tom (p=): denne selektor er trukket tilbage og signerer ikke længere e-mails.
Nøglen er i testtilstand (t=y): domænet beder modtagerservere om ikke at gøre noget, hvis signaturen ikke stemmer.
RSA-nøglen er kortere end 1024 bit: den kan knækkes, og mange modtagerservere accepterer den ikke.
RSA-nøglen har 1024 bit: den accepteres stadig, men 2048 anbefales.
Nøglen tillader kun SHA-1, en gammel algoritme, der ikke længere anses for sikker.
Nøgleposten indeholder en fejl og kan ikke læses.
Nøgletypen er hverken RSA eller Ed25519, så modtagerservere kan ikke bruge den.
Der er ingen nøgle hos nogen af de selektorer, vi prøvede.

Hvilke lande det dækker

Virker med domæner fra alle lande. Uden selektor prøver vi standardselektorerne hos de store udbydere (Google, Microsoft 365, Zoho, Proton, Fastmail, Mailchimp og andre) og de almindelige generiske navne, 33 i alt. Nøglerne læses, som modtagerservere gør (RFC 6376): RSA og Ed25519.

Vi læser domænets offentlige DNS-poster. Hvis du indtaster en e-mailadresse eller et link, er det kun domænet, der forlader din browser. Det domæne, du slår op, gemmes ikke.

Ofte stillede spørgsmål

Hvad er DKIM?

DomainKeys Identified Mail: den afsendende server signerer hver e-mail med en privat nøgle, og domænet offentliggør den offentlige nøgle i DNS. Den modtagende server tjekker signaturen: hvis den stemmer, kommer e-mailen fra domænet og er ikke blevet ændret undervejs.

Hvad er en selektor?

Det navn, en nøgle offentliggøres under, på selector._domainkey.example.com. Et domæne kan have flere, én for hver udbyder eller for hvert nøgleskift. Den vises som »s=« i headeren »DKIM-Signature« i hver e-mail.

Hvorfor finder den ingen nøgle, når domænet bruger DKIM?

Selektorer kan hedde hvad som helst, og DNS kan ikke vise en liste over dem. Vi prøver 33 almindelige; hvis domænet bruger en anden, så skriv den i »Selektor«. Derfor beviser »ikke fundet« ikke, at der ikke er DKIM.

Hvad betyder 1024 og 2048 bit?

Størrelsen på RSA-nøglen: jo længere, desto sværere at knække. 1024 bit accepteres stadig, men 2048 er det anbefalede. Under 1024 ignorerer mange modtagerservere signaturen.