Kontrola DKIM: kľúče, ktorými doména podpisuje svoje e-maily
DKIM umožňuje doméne podpisovať e-maily kľúčom zverejneným v DNS, aby príjemcovia mohli overiť, že správa pochádza z tejto domény a nebola zmenená. Každý kľúč je uložený pod názvom, ktorý sa nazýva selektor. Zadajte doménu, a ak ho poznáte, aj selektor; bez neho vyskúšame 33 bežných selektorov.
Selektor je hodnota „s=“ v hlavičke „DKIM-Signature“ e-mailu odoslaného z danej domény. Nechajte pole prázdne a vyskúšame tie bežné.
Ako nájsť selektor
- Otvorte e-mail odoslaný z danej domény a zobrazte jeho originál alebo hlavičky (v Gmaile: tri bodky a potom „Zobraziť originál“).
- Nájdite hlavičku „DKIM-Signature“: „d=“ je doména a „s=“ je selektor, napríklad s=selector1.
- Zadajte doménu a selektor a stlačte „Skontrolovať DKIM“. Bez selektora vyskúšame 33 bežných, napríklad default, google, selector1 alebo k1.
Čo znamená každý výsledok
- Doména podpisuje svoje e-maily pomocou DKIM
- Našli sme jej verejný kľúč: príjemcovia môžu overiť, že jej správy pochádzajú z tejto domény a cestou sa nezmenili.
- Kľúče DKIM existujú, ale s upozorneniami
- Našli sme aspoň jeden kľúč, ale niektoré sú vyradené, v testovacom režime alebo príliš slabé. Podrobnosti nájdete pri každom kľúči.
- Na bežných selektoroch nie je žiadny kľúč DKIM
- To nedokazuje, že doména DKIM nemá: môže používať iný selektor. Nájdete ho v hlavičke „DKIM-Signature: s=“ e-mailu, ktorý vám z nej prišiel. Zadajte ho do poľa „Selektor“ a skontrolujte znova.
- Na tomto selektore nie je žiadny kľúč DKIM
- Skontrolujte, ako je napísaný: selektor je hodnota „s=“ v hlavičke „DKIM-Signature“ a doména je jej hodnota „d=“.
Čo znamená každý signál
- Kľúč je prázdny (p=): tento selektor je vyradený a už nepodpisuje e-maily.
- Kľúč je v testovacom režime (t=y): doména žiada príjemcov, aby nijako nereagovali, keď podpis neprejde.
- Kľúč RSA je kratší ako 1024 bitov: dá sa prelomiť a mnohí príjemcovia ho neprijímajú.
- Kľúč RSA má 1024 bitov: stále sa prijíma, ale odporúča sa 2048.
- Kľúč povoľuje iba SHA-1, starý algoritmus, ktorý sa už nepovažuje za bezpečný.
- Záznam kľúča obsahuje chybu a nedá sa prečítať.
- Typ kľúča nie je RSA ani Ed25519, takže ho príjemcovia nemôžu použiť.
- Na žiadnom z vyskúšaných selektorov nie je kľúč.
Súvisiace nástroje
Ktoré krajiny pokrýva
Funguje s doménami z ktorejkoľvek krajiny. Bez selektora vyskúšame predvolené selektory veľkých poskytovateľov (Google, Microsoft 365, Zoho, Proton, Fastmail, Mailchimp a ďalších) a bežné všeobecné názvy, spolu 33. Kľúče čítame rovnako ako prijímajúce servery (RFC 6376): RSA a Ed25519.
Čítame verejné záznamy DNS domény. Ak zadáte e-mailovú adresu alebo odkaz, z vášho prehliadača odíde iba jeho doména. Doménu, ktorú vyhľadávate, neukladáme.
Časté otázky
Čo je DKIM?
DomainKeys Identified Mail: odosielajúci server podpíše každý e-mail súkromným kľúčom a doména zverejní verejný kľúč v DNS. Prijímajúci server podpis overí: ak sedí, e-mail pochádza z tejto domény a cestou sa nezmenil.
Čo je selektor?
Názov, pod ktorým je kľúč zverejnený, na adrese selector._domainkey.example.com. Doména ich môže mať niekoľko, jeden pre každého poskytovateľa alebo pre každú výmenu kľúča. V hlavičke „DKIM-Signature“ každého e-mailu sa objavuje ako „s=“.
Prečo nástroj nenájde kľúč, hoci doména DKIM používa?
Selektory môžu mať akýkoľvek názov a DNS neumožňuje ich výpis. Vyskúšame 33 bežných; ak doména používa iný, zadajte ho do poľa „Selektor“. Preto „nenájdené“ nedokazuje, že DKIM chýba.
Čo znamená 1024 a 2048 bitov?
Veľkosť kľúča RSA: čím dlhší, tým ťažšie sa prelamuje. 1024 bitov sa stále prijíma, ale odporúča sa 2048. Pod 1024 bitov mnohí príjemcovia podpis ignorujú.