Sprawdzanie DKIM: klucze, którymi domena podpisuje swoją pocztę

DKIM pozwala domenie podpisywać swoją pocztę kluczem opublikowanym w DNS, aby odbiorcy mogli sprawdzić, że wiadomość pochodzi z tej domeny i nie została zmieniona. Każdy klucz znajduje się pod nazwą zwaną selektorem. Wpisz domenę i, jeśli go znasz, selektor; bez niego wypróbujemy 33 popularne selektory.

Dodaj jako preferowane źródło Pobierz zGoogle Play Pobierz zApp Store

Selektor to wartość „s=” z nagłówka „DKIM-Signature” e-maila wysłanego przez tę domenę. Zostaw puste, aby wypróbować najczęstsze.

Jak znaleźć selektor

Otwórz e-mail wysłany przez tę domenę i wyświetl oryginał lub nagłówki (w Gmailu: trzy kropki, a potem „Pokaż oryginał”).
Znajdź nagłówek „DKIM-Signature”: „d=” to domena, a „s=” to selektor, np. s=selector1.
Wpisz domenę i selektor, a następnie naciśnij „Sprawdź DKIM”. Bez selektora wypróbujemy 33 popularne, np. default, google, selector1 lub k1.

Co oznacza każdy wynik

Domena podpisuje swoją pocztę za pomocą DKIM: Znaleźliśmy jej klucz publiczny: odbiorcy mogą sprawdzić, że jej wiadomości pochodzą z tej domeny i nie zostały zmienione po drodze.
Klucze DKIM są, ale z ostrzeżeniami: Znaleźliśmy co najmniej jeden klucz, ale niektóre są wycofane, w fazie testów lub zbyt słabe. Szczegóły są pod każdym kluczem.
Brak klucza DKIM pod popularnymi selektorami: To nie dowodzi, że domena nie ma DKIM: może używać innego selektora. Znajdziesz go w nagłówku „DKIM-Signature: s=” e-maila wysłanego przez tę domenę. Wpisz go w polu „Selektor” i sprawdź ponownie.
Brak klucza DKIM pod tym selektorem: Sprawdź pisownię: selektor to wartość „s=” nagłówka „DKIM-Signature”, a domena to jego wartość „d=”.

Co oznacza każdy sygnał

Klucz jest pusty (p=): ten selektor został wycofany i nie podpisuje już poczty.
Klucz jest w trybie testowym (t=y): domena prosi odbiorców, by nie podejmowali działań, gdy podpis nie przejdzie weryfikacji.
Klucz RSA ma mniej niż 1024 bity: można go złamać i wielu odbiorców go nie akceptuje.
Klucz RSA ma 1024 bity: nadal jest akceptowany, ale zalecane jest 2048.
Klucz dopuszcza tylko SHA-1, stary algorytm, który nie jest już uważany za bezpieczny.
Rekord klucza zawiera błąd i nie da się go odczytać.
Typ klucza to ani RSA, ani Ed25519, więc odbiorcy nie mogą go użyć.
Pod żadnym z wypróbowanych selektorów nie ma klucza.

Jakie kraje obejmuje

Działa z domenami z każdego kraju. Bez selektora wypróbowujemy domyślne selektory dużych dostawców (Google, Microsoft 365, Zoho, Proton, Fastmail, Mailchimp i innych) oraz popularne nazwy ogólne, łącznie 33. Klucze odczytujemy tak jak serwery odbierające pocztę (RFC 6376): RSA i Ed25519.

Odczytujemy publiczne rekordy DNS domeny. Jeśli wpiszesz adres e-mail lub link, z twojej przeglądarki wychodzi tylko jego domena. Sprawdzana domena nie jest zapisywana.

Najczęściej zadawane pytania

Co to jest DKIM?

DomainKeys Identified Mail: serwer wysyłający podpisuje każdy e-mail kluczem prywatnym, a domena publikuje klucz publiczny w DNS. Serwer odbierający sprawdza podpis: jeśli się zgadza, e-mail pochodzi z tej domeny i nie został zmieniony po drodze.

Co to jest selektor?

Nazwa, pod którą publikowany jest klucz, pod adresem selector._domainkey.example.com. Domena może mieć kilka selektorów, po jednym na dostawcę lub na każdą zmianę klucza. Pojawia się jako „s=” w nagłówku „DKIM-Signature” każdego e-maila.

Dlaczego narzędzie nie znajduje klucza, choć domena używa DKIM?

Selektory mogą mieć dowolną nazwę, a DNS nie pozwala ich wylistować. Wypróbowujemy 33 popularne; jeśli domena używa innego, wpisz go w polu „Selektor”. Dlatego „nie znaleziono” nie dowodzi, że DKIM nie ma.

Co oznaczają 1024 i 2048 bitów?

Rozmiar klucza RSA: im dłuższy, tym trudniej go złamać. 1024 bity są nadal akceptowane, ale zalecane jest 2048. Poniżej 1024 wielu odbiorców ignoruje podpis.