Verificare DKIM: cheile cu care un domeniu își semnează e-mailurile
DKIM îi permite unui domeniu să-și semneze e-mailurile cu o cheie publicată în DNS, ca destinatarii să poată verifica dacă un mesaj vine de la acel domeniu și nu a fost modificat. Fiecare cheie stă sub un nume numit selector. Scrie un domeniu și, dacă îl știi, selectorul; fără el, încercăm 33 de selectori comuni.
Selectorul este valoarea „s=” din antetul „DKIM-Signature” al unui e-mail trimis de acel domeniu. Lasă câmpul gol ca să-i încercăm pe cei comuni.
Cum găsești selectorul
- Deschide un e-mail trimis de acel domeniu și afișează originalul sau antetele (în Gmail: cele trei puncte, apoi „Afișați originalul”).
- Caută antetul „DKIM-Signature”: „d=” este domeniul, iar „s=” este selectorul, de exemplu s=selector1.
- Scrie domeniul și selectorul și apasă „Verifică DKIM”. Fără selector, încercăm 33 de selectori comuni, cum ar fi default, google, selector1 sau k1.
Ce înseamnă fiecare rezultat
- Domeniul își semnează e-mailurile cu DKIM
- I-am găsit cheia publică: destinatarii pot verifica dacă mesajele lui vin de la acest domeniu și nu au fost modificate pe drum.
- Există chei DKIM, cu avertismente
- Am găsit cel puțin o cheie, dar unele sunt retrase, în testare sau prea slabe. Detaliile sunt sub fiecare cheie.
- Nicio cheie DKIM la selectorii comuni
- Asta nu dovedește că domeniul nu are DKIM: poate folosi alt selector. Îl găsești în antetul „DKIM-Signature: s=” al unui e-mail pe care ți l-a trimis. Scrie-l în „Selector” și verifică din nou.
- Nicio cheie DKIM la acest selector
- Verifică dacă e scris corect: selectorul este valoarea „s=” din antetul „DKIM-Signature”, iar domeniul este valoarea lui „d=”.
Ce înseamnă fiecare semnal
- Cheia este goală (p=): acest selector a fost retras și nu mai semnează e-mailuri.
- Cheia este în modul de testare (t=y): domeniul le cere destinatarilor să nu ia măsuri dacă semnătura nu trece verificarea.
- Cheia RSA are mai puțin de 1024 de biți: poate fi spartă, iar mulți destinatari nu o acceptă.
- Cheia RSA are 1024 de biți: încă este acceptată, dar se recomandă 2048.
- Cheia permite doar SHA-1, un algoritm vechi care nu mai este considerat sigur.
- Înregistrarea cheii are o eroare și nu poate fi citită.
- Tipul cheii nu este nici RSA, nici Ed25519, așa că destinatarii nu o pot folosi.
- Nu există nicio cheie la niciunul dintre selectorii pe care i-am încercat.
Instrumente conexe
Ce țări acoperă
Funcționează cu domenii din orice țară. Fără selector, încercăm selectorii impliciți ai marilor furnizori (Google, Microsoft 365, Zoho, Proton, Fastmail, Mailchimp și alții) și numele generice obișnuite, 33 în total. Cheile sunt citite așa cum le citesc serverele care primesc e-mailul (RFC 6376): RSA și Ed25519.
Citim înregistrările DNS publice ale domeniului. Dacă scrii o adresă de e-mail sau un link, din browserul tău pleacă doar domeniul. Nu salvăm domeniul pe care îl cauți.
Întrebări frecvente
Ce este DKIM?
DomainKeys Identified Mail: serverul care trimite semnează fiecare e-mail cu o cheie privată, iar domeniul publică cheia publică în DNS. Serverul care primește verifică semnătura: dacă se potrivește, e-mailul vine de la acel domeniu și nu a fost modificat pe drum.
Ce este un selector?
Numele sub care este publicată o cheie, la adresa selector._domainkey.example.com. Un domeniu poate avea mai mulți, câte unul pentru fiecare furnizor sau pentru fiecare schimbare de cheie. Apare ca „s=” în antetul „DKIM-Signature” al fiecărui e-mail.
De ce nu găsește nicio cheie, deși domeniul folosește DKIM?
Selectorii pot avea orice nume, iar DNS-ul nu permite listarea lor. Încercăm 33 de selectori comuni; dacă domeniul folosește altul, scrie-l în „Selector”. De aceea „negăsit” nu dovedește că nu există DKIM.
Ce înseamnă 1024 și 2048 de biți?
Dimensiunea cheii RSA: cu cât e mai lungă, cu atât e mai greu de spart. 1024 de biți încă sunt acceptați, dar se recomandă 2048. Sub 1024 de biți, mulți destinatari ignoră semnătura.