Jak działa to sprawdzenie
Odpytujemy rekord TXT pod <selektor>._domainkey.<domena>, podążając za ewentualną delegacją CNAME do dostawcy poczty, i analizujemy go zgodnie z RFC 6376.
Klucz publiczny jest dekodowany i parsowany. Typ i długość klucza oceniamy według RFC 8301 (weryfikatory muszą odrzucać klucze RSA krótsze niż 1024 bity, a zalecana długość to 2048 bitów) oraz RFC 8463 dla kluczy Ed25519. Wykrywamy też typowe błędy publikacji, np. cudzysłowy lub spacje wklejone do klucza.
Ograniczenia
- DNS nie pozwala pobrać listy selektorów, więc nie możemy ich znaleźć za Ciebie. Weź selektor z nagłówka DKIM-Signature (s=) wysłanej wiadomości.
- Poprawny rekord nie dowodzi, że poczta jest podpisywana pasującym kluczem prywatnym. Wyślij wiadomość testową i sprawdź jej nagłówek Authentication-Results.
- Sprawdzane domeny i selektory nie są zapisywane ani logowane.
Najczęstsze pytania
Jak znaleźć mój selektor DKIM?
Otwórz wysłaną wiadomość, wyświetl jej źródło i znajdź nagłówek DKIM-Signature: selektor to wartość s=, domena to d=. Popularne wartości domyślne to „google” w Google Workspace oraz „selector1”/„selector2” w Microsoft 365, ale Twój dostawca może używać własnych nazw.
Dlaczego nie możecie znaleźć selektorów automatycznie?
DNS nie pozwala pobrać listy nazw pod _domainkey, a zgadywanie wielu selektorów znalazłoby tylko popularne wartości domyślne. Narzędzia, które „znajdują wszystkie selektory”, też zgadują.
Czy klucz 1024-bitowy jest jeszcze w porządku?
To minimum, które weryfikatory muszą akceptować (RFC 8301), a Gmail wymaga co najmniej 1024 bitów. Używaj 2048 bitów, jeśli Twój dostawca DNS obsługuje dłuższy rekord; niektóre panele wymagają podzielenia klucza na kilka ciągów, co jest w porządku.
Co oznacza „klucz unieważniony”?
Rekord ma pusty tag p=. To standardowy sposób wycofania klucza: podpisy nim wykonane przestają przechodzić weryfikację. Jeśli nadal podpisujesz tym selektorem, opublikuj nowy klucz albo zmień selektor w ustawieniach dostawcy.
Klucz jest poprawny, ale w nagłówkach DKIM nie przechodzi. Dlaczego?
Najczęściej wiadomość została zmieniona po drodze (listy dyskusyjne, stopki dodawane przez bramki), klucz zmieniono w DNS, ale nie w usłudze wysyłkowej, albo podpis wykonano dla innej domeny, niż się spodziewasz. Analizator nagłówków pokaże faktycznie użyte d= i s=.