Проверка DKIM: ключи, которыми домен подписывает свою почту

DKIM позволяет домену подписывать свою почту ключом, опубликованным в DNS, чтобы принимающие серверы могли проверить, что письмо пришло с этого домена и не было изменено. Каждый ключ хранится под именем, которое называется селектором. Введите домен и, если знаете, селектор; без него мы проверим 33 распространённых селектора.

Добавить в предпочтительные источники Скачать вGoogle Play Скачать вApp Store

Селектор — это значение «s=» в заголовке «DKIM-Signature» письма, отправленного с этого домена. Оставьте поле пустым, чтобы проверить распространённые селекторы.

Как найти селектор

Откройте письмо, отправленное с этого домена, и откройте его оригинал или заголовки (в Gmail: три точки, затем «Показать оригинал»).
Найдите заголовок «DKIM-Signature»: «d=» — это домен, а «s=» — селектор, например s=selector1.
Введите домен и селектор и нажмите «Проверить DKIM». Без селектора мы проверим 33 распространённых, например default, google, selector1 или k1.

Что означает каждый результат

Домен подписывает свою почту с помощью DKIM: Мы нашли его открытый ключ: принимающие серверы могут проверить, что его письма приходят с этого домена и не были изменены по пути.
DKIM-ключи есть, но с предупреждениями: Мы нашли хотя бы один ключ, но некоторые отозваны, работают в тестовом режиме или слишком слабые. Подробности — под каждым ключом.
На распространённых селекторах DKIM-ключа нет: Это не доказывает, что у домена нет DKIM: он может использовать другой селектор. Его можно найти в заголовке «DKIM-Signature: s=» письма, которое домен вам отправил. Введите его в поле «Селектор» и проверьте ещё раз.
На этом селекторе DKIM-ключа нет: Проверьте написание: селектор — это значение «s=» в заголовке «DKIM-Signature», а домен — его значение «d=».

Что означает каждый сигнал

Ключ пустой (p=): этот селектор отозван и больше не подписывает почту.
Ключ в тестовом режиме (t=y): домен просит принимающие серверы ничего не предпринимать, если подпись не проходит проверку.
RSA-ключ короче 1024 бит: его можно взломать, и многие принимающие серверы его не принимают.
RSA-ключ длиной 1024 бита: его пока принимают, но рекомендуется 2048.
Ключ допускает только SHA-1 — старый алгоритм, который больше не считается безопасным.
В записи ключа есть ошибка, и её невозможно прочитать.
Тип ключа — не RSA и не Ed25519, поэтому принимающие серверы не могут его использовать.
Ни на одном из проверенных селекторов ключа нет.

Какие страны охвачены

Работает с доменами из любой страны. Без селектора мы проверяем селекторы по умолчанию крупных сервисов (Google, Microsoft 365, Zoho, Proton, Fastmail, Mailchimp и другие) и обычные общие имена — всего 33. Ключи читаются так же, как их читают принимающие серверы (RFC 6376): RSA и Ed25519.

Мы читаем публичные DNS-записи домена. Если вы вводите адрес электронной почты или ссылку, из вашего браузера уходит только домен. Домен, который вы проверяете, не сохраняется.

Частые вопросы

Что такое DKIM?

DomainKeys Identified Mail: отправляющий сервер подписывает каждое письмо закрытым ключом, а домен публикует открытый ключ в DNS. Принимающий сервер проверяет подпись: если она совпадает, письмо пришло с этого домена и не было изменено по пути.

Что такое селектор?

Имя, под которым опубликован ключ, в виде selector._domainkey.example.com. У домена их может быть несколько: по одному на каждый сервис или на каждую смену ключа. Селектор указан как «s=» в заголовке «DKIM-Signature» каждого письма.

Почему ключ не находится, хотя домен использует DKIM?

Селекторы могут называться как угодно, а DNS не позволяет получить их список. Мы проверяем 33 распространённых; если домен использует другой, введите его в поле «Селектор». Поэтому «не найдено» не доказывает, что DKIM нет.

Что означают 1024 и 2048 бит?

Это размер RSA-ключа: чем он длиннее, тем сложнее его взломать. 1024 бита пока принимают, но рекомендуется 2048. Если ключ короче 1024 бит, многие принимающие серверы игнорируют подпись.