Перевірка DKIM: ключі, якими домен підписує свою пошту

DKIM дає змогу домену підписувати свою пошту ключем, опублікованим у DNS, щоб сервери-одержувачі могли перевірити, що лист надійшов із цього домену й не був змінений. Кожен ключ зберігається під ім’ям, яке називається селектором. Введіть домен і, якщо знаєте, селектор; без нього ми перевіримо 33 поширені селектори.

Додати до пріоритетних джерел Завантажити вGoogle Play Завантажити вApp Store

Селектор — це значення «s=» у заголовку «DKIM-Signature» листа, надісланого з цього домену. Залиште поле порожнім, щоб перевірити поширені селектори.

Як знайти селектор

Відкрийте лист, надісланий із цього домену, і перегляньте його оригінал або заголовки (у Gmail: три крапки, потім «Показати оригінал»).
Знайдіть заголовок «DKIM-Signature»: «d=» — це домен, а «s=» — селектор, наприклад s=selector1.
Введіть домен і селектор і натисніть «Перевірити DKIM». Без селектора ми перевіримо 33 поширені, наприклад default, google, selector1 або k1.

Що означає кожен результат

Домен підписує свою пошту за допомогою DKIM: Ми знайшли його відкритий ключ: сервери-одержувачі можуть перевірити, що його листи надходять із цього домену й не були змінені дорогою.
DKIM-ключі є, але з попередженнями: Ми знайшли принаймні один ключ, але деякі відкликані, працюють у тестовому режимі або надто слабкі. Подробиці — під кожним ключем.
На поширених селекторах DKIM-ключа немає: Це не доводить, що домен не має DKIM: він може використовувати інший селектор. Його можна знайти в заголовку «DKIM-Signature: s=» листа, який домен вам надіслав. Введіть його в полі «Селектор» і перевірте ще раз.
На цьому селекторі DKIM-ключа немає: Перевірте написання: селектор — це значення «s=» у заголовку «DKIM-Signature», а домен — його значення «d=».

Що означає кожен сигнал

Ключ порожній (p=): цей селектор відкликано, і він більше не підписує пошту.
Ключ у тестовому режимі (t=y): домен просить сервери-одержувачі нічого не робити, якщо підпис не проходить перевірку.
RSA-ключ коротший за 1024 біти: його можна зламати, і багато серверів-одержувачів його не приймають.
RSA-ключ завдовжки 1024 біти: його ще приймають, але рекомендовано 2048.
Ключ допускає лише SHA-1 — старий алгоритм, який більше не вважається безпечним.
У записі ключа є помилка, і його неможливо прочитати.
Тип ключа — не RSA і не Ed25519, тож сервери-одержувачі не можуть його використати.
На жодному з перевірених селекторів ключа немає.

Які країни охоплено

Працює з доменами з будь-якої країни. Без селектора ми перевіряємо стандартні селектори великих сервісів (Google, Microsoft 365, Zoho, Proton, Fastmail, Mailchimp та інших) і звичайні загальні назви — усього 33. Ключі читаються так само, як їх читають сервери-одержувачі (RFC 6376): RSA і Ed25519.

Ми читаємо публічні DNS-записи домену. Якщо ви вводите адресу електронної пошти або посилання, з вашого браузера передається лише домен. Домен, який ви перевіряєте, не зберігається.

Поширені запитання

Що таке DKIM?

DomainKeys Identified Mail: сервер-відправник підписує кожен лист закритим ключем, а домен публікує відкритий ключ у DNS. Сервер-одержувач перевіряє підпис: якщо він збігається, лист надійшов із цього домену й не був змінений дорогою.

Що таке селектор?

Ім’я, під яким опубліковано ключ, у вигляді selector._domainkey.example.com. Домен може мати кілька селекторів: по одному на кожен сервіс або на кожну зміну ключа. Селектор указано як «s=» у заголовку «DKIM-Signature» кожного листа.

Чому ключ не знаходиться, хоча домен використовує DKIM?

Селектори можуть мати будь-яку назву, а DNS не дає змоги отримати їхній список. Ми перевіряємо 33 поширені; якщо домен використовує інший, введіть його в полі «Селектор». Тому «не знайдено» не доводить, що DKIM немає.

Що означають 1024 і 2048 біт?

Це розмір RSA-ключа: що він довший, то важче його зламати. 1024 біти ще приймають, але рекомендовано 2048. Якщо ключ коротший за 1024 біти, багато серверів-одержувачів ігнорують підпис.