Verifica DKIM: le chiavi con cui un dominio firma la sua posta
DKIM permette a un dominio di firmare la sua posta con una chiave pubblicata nel DNS, così i server di ricezione possono verificare che un messaggio arrivi da quel dominio e non sia stato alterato. Ogni chiave si trova sotto un nome chiamato selettore. Inserisci un dominio e, se lo conosci, il selettore; senza selettore proviamo 33 selettori comuni.
Il selettore è il valore «s=» dell’intestazione «DKIM-Signature» di un’email inviata da quel dominio. Lascialo vuoto per provare quelli comuni.
Come trovare il selettore
- Apri un’email inviata da quel dominio e mostra l’originale o le intestazioni (in Gmail: i tre puntini, poi «Mostra originale»).
- Cerca l’intestazione «DKIM-Signature»: «d=» è il dominio e «s=» è il selettore, per esempio s=selector1.
- Inserisci il dominio e il selettore e premi «Verifica DKIM». Senza selettore ne proviamo 33 comuni, come default, google, selector1 o k1.
Cosa significa ogni risultato
- Il dominio firma la sua posta con DKIM
- Abbiamo trovato la sua chiave pubblica: i server di ricezione possono verificare che i suoi messaggi arrivino da questo dominio e non siano stati alterati lungo il percorso.
- Ci sono chiavi DKIM, con avvisi
- Abbiamo trovato almeno una chiave, ma alcune sono ritirate, in prova o troppo deboli. Trovi i dettagli sotto ogni chiave.
- Nessuna chiave DKIM nei selettori comuni
- Questo non dimostra che il dominio non usi DKIM: può usare un altro selettore. Lo trovi nell’intestazione «DKIM-Signature: s=» di un’email che ti ha inviato. Scrivilo in «Selettore» e ricontrolla.
- Nessuna chiave DKIM in quel selettore
- Controlla come è scritto: il selettore è il valore «s=» dell’intestazione «DKIM-Signature» e il dominio è il suo valore «d=».
Cosa significa ogni segnale
- La chiave è vuota (p=): questo selettore è ritirato e non firma più la posta.
- La chiave è in modalità di prova (t=y): il dominio chiede ai server di ricezione di non intervenire se la firma non è valida.
- La chiave RSA è più corta di 1024 bit: può essere violata e molti server di ricezione non la accettano.
- La chiave RSA è di 1024 bit: è ancora accettata, ma si consigliano 2048.
- La chiave consente solo SHA-1, un algoritmo vecchio che non è più considerato sicuro.
- Il record della chiave ha un errore e non si può leggere.
- Il tipo di chiave non è né RSA né Ed25519, quindi i server di ricezione non possono usarla.
- Non c’è alcuna chiave nei selettori che abbiamo provato.
Strumenti correlati
Quali paesi copre
Funziona con domini di qualsiasi paese. Senza selettore proviamo quelli predefiniti dei grandi provider (Google, Microsoft 365, Zoho, Proton, Fastmail, Mailchimp e altri) e i nomi generici più comuni, 33 in tutto. Le chiavi vengono lette come fanno i server di ricezione (RFC 6376): RSA ed Ed25519.
Leggiamo i record DNS pubblici del dominio. Se inserisci un indirizzo email o un link, dal tuo browser esce solo il suo dominio. Non salviamo il dominio che cerchi.
Domande frequenti
Che cos’è DKIM?
DomainKeys Identified Mail: il server che invia firma ogni email con una chiave privata e il dominio pubblica la chiave pubblica nel DNS. Il server che la riceve verifica la firma: se corrisponde, l’email arriva da quel dominio e non è stata modificata lungo il percorso.
Che cos’è un selettore?
Il nome con cui viene pubblicata una chiave, in selector._domainkey.example.com. Un dominio può averne diversi, uno per provider o per ogni cambio di chiave. Compare come «s=» nell’intestazione «DKIM-Signature» di ogni email.
Perché non trova nessuna chiave se il dominio usa DKIM?
I selettori possono avere qualsiasi nome e il DNS non permette di elencarli. Ne proviamo 33 comuni; se il dominio ne usa un altro, scrivilo in «Selettore». Per questo «non trovata» non dimostra che non ci sia DKIM.
Cosa significano 1024 e 2048 bit?
La dimensione della chiave RSA: più è lunga, più è difficile da violare. Una chiave da 1024 bit è ancora accettata, ma la dimensione consigliata è 2048. Sotto 1024, molti server di ricezione ignorano la firma.