DKIM-ellenőrzés: a kulcsok, amelyekkel egy domain aláírja a leveleit
A DKIM lehetővé teszi, hogy egy domain a DNS-ben közzétett kulccsal aláírja a leveleit, így a fogadó szerverek ellenőrizhetik, hogy egy üzenet valóban attól a domaintől származik, és nem módosították. Minden kulcs egy szelektornak nevezett név alatt található. Írja be a domaint és, ha ismeri, a szelektort; nélküle 33 gyakori szelektort próbálunk ki.
A szelektor a domain által küldött e-mail „DKIM-Signature” fejlécében található „s=” érték. Hagyja üresen, és kipróbáljuk a gyakoriakat.
Hogyan találja meg a szelektort
- Nyisson meg egy e-mailt, amelyet az adott domain küldött, és jelenítse meg az eredetijét vagy a fejléceit (a Gmailben: a három pont, majd „Eredeti megjelenítése”).
- Keresse meg a „DKIM-Signature” fejlécet: a „d=” a domain, az „s=” a szelektor, például s=selector1.
- Írja be a domaint és a szelektort, majd nyomja meg a „DKIM ellenőrzése” gombot. Szelektor nélkül 33 gyakorit próbálunk ki, például: default, google, selector1 vagy k1.
Mit jelentenek az egyes eredmények
- A domain DKIM-mel írja alá a leveleit
- Megtaláltuk a nyilvános kulcsát: a fogadó szerverek ellenőrizhetik, hogy az üzenetei ettől a domaintől származnak, és útközben nem módosították őket.
- Vannak DKIM-kulcsok, figyelmeztetésekkel
- Legalább egy kulcsot találtunk, de némelyik visszavont, tesztelés alatt áll vagy túl gyenge. A részletek az egyes kulcsok alatt láthatók.
- A gyakori szelektoroknál nincs DKIM-kulcs
- Ez nem bizonyítja, hogy a domainnek nincs DKIM-je: lehet, hogy más szelektort használ. Megtalálja a domaintől kapott e-mail „DKIM-Signature: s=” fejlécében. Írja be a „Szelektor” mezőbe, és ellenőrizze újra.
- Ennél a szelektornál nincs DKIM-kulcs
- Ellenőrizze az írásmódját: a szelektor a „DKIM-Signature” fejléc „s=” értéke, a domain pedig a „d=” értéke.
Mit jelentenek az egyes jelzések
- A kulcs üres (p=): ezt a szelektort visszavonták, és már nem ír alá leveleket.
- A kulcs tesztüzemmódban van (t=y): a domain arra kéri a fogadó szervereket, hogy ne lépjenek közbe, ha az aláírás ellenőrzése sikertelen.
- Az RSA-kulcs rövidebb 1024 bitnél: feltörhető, és sok fogadó szerver nem fogadja el.
- Az RSA-kulcs 1024 bites: még elfogadják, de 2048 bit ajánlott.
- A kulcs csak SHA-1-et enged, egy régi algoritmust, amely már nem számít biztonságosnak.
- A kulcs rekordja hibás, és nem olvasható.
- A kulcs típusa nem RSA és nem Ed25519, így a fogadó szerverek nem tudják használni.
- A kipróbált szelektorok egyikénél sincs kulcs.
Kapcsolódó eszközök
Mely országokra terjed ki
Bármely ország domainjeivel működik. Szelektor nélkül a nagy szolgáltatók (Google, Microsoft 365, Zoho, Proton, Fastmail, Mailchimp és mások) alapértelmezett szelektorait és a szokásos általános neveket próbáljuk ki, összesen 33-at. A kulcsokat úgy olvassuk, ahogy a fogadó szerverek (RFC 6376): RSA és Ed25519.
A domain nyilvános DNS-rekordjait olvassuk. Ha e-mail-címet vagy linket ír be, csak annak domainje hagyja el a böngészőjét. A lekérdezett domaint nem tároljuk.
Gyakran ismételt kérdések
Mi a DKIM?
DomainKeys Identified Mail: a küldő szerver minden e-mailt aláír egy privát kulccsal, a domain pedig közzéteszi a nyilvános kulcsot a DNS-ben. A fogadó szerver ellenőrzi az aláírást: ha egyezik, az e-mail attól a domaintől származik, és útközben nem módosították.
Mi a szelektor?
Az a név, amely alatt a kulcsot közzéteszik, a selector._domainkey.example.com címen. Egy domainnek több is lehet, szolgáltatónként vagy kulcscserénként egy. Minden e-mail „DKIM-Signature” fejlécében „s=” formában jelenik meg.
Miért nem talál kulcsot, ha a domain használ DKIM-et?
A szelektoroknak bármilyen nevük lehet, és a DNS nem teszi lehetővé a listázásukat. 33 gyakorit próbálunk ki; ha a domain mást használ, írja be a „Szelektor” mezőbe. Ezért a „nem található” nem bizonyítja, hogy nincs DKIM.
Mit jelent az 1024 és a 2048 bit?
Az RSA-kulcs méretét: minél hosszabb, annál nehezebb feltörni. Az 1024 bitet még elfogadják, de a 2048 bit az ajánlott. 1024 bit alatt sok fogadó szerver figyelmen kívül hagyja az aláírást.