檢查 DKIM：網域用來簽署郵件的金鑰
DKIM 讓網域能用發布在 DNS 中的金鑰簽署郵件，收件端便能確認郵件確實來自該網域，且未遭竄改。每把金鑰都位於一個稱為「選取器」的名稱之下。請輸入網域；如果知道選取器，也一併輸入。沒有選取器時，我們會試試 33 個常見的選取器。
選取器是該網域所寄郵件中「DKIM-Signature」標頭的「s=」值。留空即可試試常見的選取器。
如何找到選取器
- 打開該網域寄出的郵件，顯示原始郵件或郵件標頭（在 Gmail 中：點選三個點圖示，再選「顯示原始郵件」）。
- 找到「DKIM-Signature」標頭：「d=」是網域，「s=」是選取器，例如 s=selector1。
- 輸入網域和選取器，然後按下「檢查 DKIM」。沒有選取器時，我們會試試 33 個常見的選取器，例如 default、google、selector1 或 k1。
每種結果代表什麼
- 這個網域使用 DKIM 簽署郵件
- 我們找到了它的公開金鑰：收件端可以確認它的郵件來自這個網域，且在傳送途中未遭竄改。
- 有 DKIM 金鑰，但有警告
- 我們找到至少一把金鑰，但有些已停用、處於測試中或強度太弱。詳細資訊列在每把金鑰下方。
- 常見的選取器中沒有 DKIM 金鑰
- 這不代表該網域沒有 DKIM：它可能使用其他選取器。你可以在它寄給你的郵件中，從「DKIM-Signature: s=」標頭找到選取器。請在「選取器」中輸入，再檢查一次。
- 這個選取器沒有 DKIM 金鑰
- 請檢查拼寫：選取器是「DKIM-Signature」標頭的「s=」值，網域則是它的「d=」值。
每個訊號代表什麼
- 金鑰是空白的（p=）：這個選取器已停用，不再用來簽署郵件。
- 金鑰處於測試模式（t=y）：網域要求收件端在簽章驗證失敗時不要採取行動。
- RSA 金鑰短於 1024 位元：可能被破解，許多收件端也不接受。
- RSA 金鑰為 1024 位元：仍可接受，但建議使用 2048 位元。
- 金鑰只允許 SHA-1，這種舊演算法已不再被視為安全。
- 金鑰記錄有錯誤，無法讀取。
- 金鑰類型不是 RSA 或 Ed25519，因此收件端無法使用。
- 我們嘗試的選取器中都沒有金鑰。
相關工具
涵蓋哪些國家
適用於任何國家的網域。沒有選取器時，我們會試試各大供應商的預設選取器（Google、Microsoft 365、Zoho、Proton、Fastmail、Mailchimp 等）和常見的通用名稱，共 33 個。我們會像收件伺服器一樣讀取金鑰（RFC 6376）：支援 RSA 和 Ed25519。
我們讀取的是該網域的公開 DNS 記錄。如果你輸入電子郵件地址或連結，只有其中的網域會離開你的瀏覽器。你查詢的網域不會被儲存。
常見問題
什麼是 DKIM？
DomainKeys Identified Mail：寄件伺服器用私密金鑰簽署每封郵件，網域則在 DNS 中發布公開金鑰。收件伺服器會驗證簽章：如果相符，就表示郵件來自該網域，且在傳送途中未遭更改。
什麼是選取器？
金鑰發布時所用的名稱，位置在 selector._domainkey.example.com。一個網域可以有好幾個，例如每個供應商一個，或每次更換金鑰時各一個。它會以「s=」出現在每封郵件的「DKIM-Signature」標頭中。
網域明明使用 DKIM，為什麼找不到金鑰？
選取器可以取任何名稱，而 DNS 無法列出它們。我們會試試 33 個常見的選取器；如果網域使用其他選取器，請在「選取器」中輸入。所以「找不到」並不能證明沒有 DKIM。
1024 和 2048 位元是什麼意思？
這是 RSA 金鑰的長度：越長就越難破解。1024 位元仍可接受，但建議使用 2048 位元。低於 1024 位元時，許多收件端會忽略簽章。