בדיקת DKIM: המפתחות שבהם דומיין חותם על האימייל שלו

DKIM מאפשר לדומיין לחתום על האימייל שלו במפתח שמפורסם ב-DNS, כדי שהשרתים המקבלים יוכלו לבדוק שהודעה הגיעה מהדומיין הזה ולא שונתה. כל מפתח נמצא תחת שם שנקרא סלקטור. הקלידו דומיין, ואם אתם יודעים, גם את הסלקטור; בלעדיו ננסה 33 סלקטורים נפוצים.

הוספה כמקור מועדף הורידו מתוךGoogle Play הורידו מתוךApp Store

הסלקטור הוא הערך “s=” בכותרת “DKIM-Signature” של אימייל שנשלח מהדומיין הזה. השאירו ריק כדי לנסות את הנפוצים.

איך מוצאים את הסלקטור

פתחו אימייל שנשלח מהדומיין הזה והציגו את המקור או את הכותרות שלו (ב-Gmail: שלוש הנקודות ואז “הצגת המקור”).
מצאו את הכותרת “DKIM-Signature”: “d=” הוא הדומיין ו“s=” הוא הסלקטור, לדוגמה s=selector1.
הקלידו את הדומיין ואת הסלקטור ולחצו על “בדיקת DKIM”. בלי סלקטור ננסה 33 סלקטורים נפוצים, כמו default, google, selector1 או k1.

מה כל תוצאה אומרת

הדומיין חותם על האימייל שלו עם DKIM: מצאנו את המפתח הציבורי שלו: השרתים המקבלים יכולים לבדוק שההודעות שלו מגיעות מהדומיין הזה ולא שונו בדרך.
יש מפתחות DKIM, עם אזהרות: מצאנו לפחות מפתח אחד, אבל חלק מהמפתחות הוצאו משימוש, נמצאים במצב בדיקה או חלשים מדי. הפרטים מופיעים מתחת לכל מפתח.
אין מפתח DKIM בסלקטורים הנפוצים: זה לא מוכיח שלדומיין אין DKIM: ייתכן שהוא משתמש בסלקטור אחר. תמצאו אותו בכותרת “DKIM-Signature: s=” של אימייל שהדומיין שלח לכם. הקלידו אותו בשדה “סלקטור” ובדקו שוב.
אין מפתח DKIM בסלקטור הזה: בדקו איך הוא כתוב: הסלקטור הוא הערך “s=” בכותרת “DKIM-Signature”, והדומיין הוא הערך “d=” שלה.

מה כל סימן אומר

המפתח ריק (p=): הסלקטור הזה הוצא משימוש והוא כבר לא חותם על אימייל.
המפתח במצב בדיקה (t=y): הדומיין מבקש מהשרתים המקבלים לא לפעול אם החתימה נכשלת.
מפתח ה-RSA קצר מ-1024 ביט: אפשר לפרוץ אותו, ושרתים מקבלים רבים לא מקבלים אותו.
מפתח ה-RSA באורך 1024 ביט: הוא עדיין מתקבל, אבל מומלץ 2048.
המפתח מתיר רק SHA-1, אלגוריתם ישן שכבר לא נחשב בטוח.
ברשומת המפתח יש שגיאה ואי אפשר לקרוא אותה.
סוג המפתח אינו RSA וגם לא Ed25519, ולכן השרתים המקבלים לא יכולים להשתמש בו.
אין מפתח באף אחד מהסלקטורים שניסינו.

באילו מדינות הכלי עובד

עובד עם דומיינים מכל מדינה. בלי סלקטור אנחנו מנסים את ברירות המחדל של הספקים הגדולים (Google, Microsoft 365, Zoho, Proton, Fastmail, Mailchimp ואחרים) ואת השמות הכלליים הנפוצים, 33 בסך הכול. המפתחות נקראים כמו שהשרתים המקבלים קוראים אותם (RFC 6376): RSA ו-Ed25519.

אנחנו קוראים את רשומות ה-DNS הציבוריות של הדומיין. אם תקלידו כתובת אימייל או קישור, רק הדומיין שלהם יוצא מהדפדפן שלכם. הדומיין שאתם בודקים לא נשמר.

שאלות נפוצות

מה זה DKIM?

DomainKeys Identified Mail: השרת השולח חותם על כל אימייל במפתח פרטי, והדומיין מפרסם את המפתח הציבורי ב-DNS. השרת המקבל בודק את החתימה: אם היא תואמת, האימייל הגיע מהדומיין הזה ולא שונה בדרך.

מה זה סלקטור?

השם שתחתיו מפורסם מפתח, בכתובת selector._domainkey.example.com. לדומיין יכולים להיות כמה סלקטורים, אחד לכל ספק או לכל החלפת מפתח. הוא מופיע כ“s=” בכותרת “DKIM-Signature” של כל אימייל.

למה לא נמצא מפתח כשהדומיין משתמש ב-DKIM?

לסלקטורים יכול להיות כל שם, וה-DNS לא מאפשר להציג רשימה שלהם. אנחנו מנסים 33 סלקטורים נפוצים; אם הדומיין משתמש בסלקטור אחר, הקלידו אותו בשדה “סלקטור”. לכן “לא נמצא” לא מוכיח שאין DKIM.

מה המשמעות של 1024 ו-2048 ביט?

הגודל של מפתח ה-RSA: ככל שהוא ארוך יותר, קשה יותר לפרוץ אותו. 1024 ביט עדיין מתקבל, אבל מה שמומלץ הוא 2048. מתחת ל-1024, שרתים מקבלים רבים מתעלמים מהחתימה.