Sprawdzanie rekordu DKIM

Znajdziemy klucz DKIM domeny po selektorze i sprawdzimy składnię oraz długość klucza.

Sprawdzanie rekordu i klucza DKIM

DKIM podpisuje każdą wiadomość kluczem domeny, a odbiorca weryfikuje podpis kluczem publicznym z DNS pod nazwą selektor._domainkey.domena. Narzędzie znajduje ten rekord dla Twojego selektora albo sprawdza 30 popularnych (Google Workspace, Microsoft 365, Mailchimp, SendGrid, Zoho, Fastmail, Proton, HubSpot i inne), podąża za CNAME, rozbiera tagi i mierzy długość klucza RSA. Selektorów nie da się wyliczyć przez DNS, więc „nie znaleziono” znaczy tylko „nie ma wśród sprawdzonych”.

Jeden selektor lub 30 popularnych

Długość klucza RSA i Ed25519: słaby, 1024, 2048+

Delegowanie CNAME i „wiszące” CNAME

Unieważniony klucz (puste p=), t=y, h=sha1, błędny base64

Jak korzystać

Wpisz domenę; selektor znajdziesz w nagłówku DKIM-Signature (s=)
Bez selektora sprawdzimy 30 popularnych — to trwa kilka sekund
Sprawdź status klucza i wymień klucze krótsze niż 2048 bitów

FAQ

Selektor to nazwa klucza: rekord jest pod selektor._domainkey.domena, a domena może mieć kilka kluczy dla różnych usług. Dokładny selektor jest w nagłówku DKIM-Signature każdej wysłanej wiadomości — wartość s=, a d= to domena podpisu. W Gmailu: „Pokaż oryginał”.

Najpewniej Twoja usługa używa niestandardowego selektora: DNS nie pozwala wyliczyć nazw, więc bez selektora sprawdzamy tylko 30 popularnych. Amazon SES tworzy na przykład trzy losowe selektory na domenę. Podaj selektor z nagłówka wiadomości.

2048 bitów. Klucze 1024 są jeszcze akceptowane, ale to minimum, a kluczy krótszych niż 1024 odbiorcy wg RFC 8301 nie powinni akceptować. Klucz 2048 ma ponad 255 znaków i jest zapisywany jako kilka ciągów w jednym rekordzie TXT — współczesne panele DNS robią to same.

Klucz został unieważniony: wiadomości podpisane tym selektorem nie przejdą DKIM. Tak wycofuje się stary klucz po rotacji. Jeśli nadal podpisujesz tym selektorem, opublikuj klucz ponownie albo przełącz podpis na aktualny selektor.

Tak działają Microsoft 365, SendGrid, Mailchimp i inni: publikujesz CNAME do ich strefy, a oni przechowują i rotują klucz. To normalne. Problem jest tylko wtedy, gdy pod adresem CNAME nie ma rekordu — podpis nie przejdzie; w Microsoft 365 oznacza to, że DKIM nie jest włączony w panelu.

Jak działa DKIM i co sprawdza narzędzie

DKIM (DomainKeys Identified Mail) dodaje do każdej wiadomości podpis cyfrowy. Serwer nadawcy podpisuje nagłówki i treść kluczem prywatnym, a odbiorca pobiera klucz publiczny z DNS i sprawdza, czy wiadomości nie zmieniono po drodze i czy naprawdę wysłał ją właściciel domeny. Klucz publiczny jest w rekordzie TXT pod nazwą selektor._domainkey.domena.

Sprawdzanie DKIM znajduje ten rekord, w razie potrzeby podąża za CNAME, rozbiera tagi i ocenia klucz:

Status	Co znaczy
klucz OK	RSA 2048 bitów lub więcej albo Ed25519, bez błędów w rekordzie
1024 bity — zaktualizuj	Nadal akceptowany, ale to minimum; przejdź na 2048
słaby klucz	Krótszy niż 1024 bity — wg RFC 8301 odbiorcy nie powinni akceptować takich podpisów
klucz unieważniony	Puste `p=`: podpisy tym selektorem nie przejdą
błędny rekord	Klucz nieczytelny, zła wersja lub nieznany typ klucza

Gdzie znaleźć selektor DKIM

Selektor to nazwa klucza. Wybiera go nadawca, a domena może mieć dowolnie wiele selektorów dla różnych usług. DNS nie pozwala pobrać ich listy, więc bez selektora narzędzie sprawdza 30 najpopularniejszych. Jeśli nic się nie znalazło, oznacza to tylko „nie ma wśród sprawdzonych”, a nie „brak DKIM”.

Dokładny selektor jest w każdej wiadomości wysłanej z domeny. W Gmailu otwórz wiadomość → „Pokaż oryginał” i znajdź nagłówek:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=google;
        h=from:to:subject:date:message-id; bh=...; b=...

s=google to selektor, a d=example.com — domena podpisu. Werdykt odbiorcy widać w nagłówku Authentication-Results: dkim=pass [email protected] header.s=google. Dla DMARC domena d= musi zgadzać się z domeną w polu From — to sprawdza sprawdzanie DMARC.

Selektory popularnych usług

Usługa	Selektor i typ rekordu
Google Workspace	`google` domyślnie (można ustawić własny), TXT z kluczem
Microsoft 365	`selector1` i `selector2`, CNAME do strefy Microsoft
Mailchimp / Mandrill	`k1` (oraz `k2`, `k3`), CNAME
SendGrid	`s1` i `s2`, CNAME do sendgrid.net
Amazon SES	trzy losowe selektory na domenę, CNAME do dkim.amazonses.com — nie da się ich zgadnąć; weź je z konsoli SES lub z nagłówka
Hosting z cPanel/Plesk	często `default` lub `mail`

Usługi zmieniają nazwy i schematy, więc sprawdzaj ich dokumentację. CNAME oznacza, że klucz przechowuje i rotuje dostawca — to normalne. Problem jest tylko wtedy, gdy CNAME istnieje, a pod adresem docelowym nie ma rekordu: podpis nie przejdzie. W Microsoft 365 zwykle znaczy to, że DKIM nie jest włączony dla domeny w centrum administracyjnym.

Składnia rekordu DKIM

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...

v=DKIM1 — wersja; opcjonalna, ale jeśli jest — musi być pierwsza.
k — typ klucza: rsa (domyślnie) lub ed25519.
p — klucz publiczny w base64. Pusta wartość oznacza unieważniony klucz.
t=y — tryb testowy: odbiorcy mają traktować podpisane wiadomości jak niepodpisane. Usuń go po wdrożeniu. t=s to tryb ścisły dla subdomen.
h — dozwolone algorytmy skrótu. Jeśli jest tylko sha1, podpisy nie przejdą: wg RFC 8301 sha1 nie jest już akceptowane.
s — typ usługi; dla poczty * lub email.

Klucz 2048-bitowy ma ponad 255 znaków, więc DNS przechowuje go jako kilka ciągów w jednym rekordzie TXT. Większość paneli dzieli go automatycznie; jeśli Twój wymaga ręcznego wpisania, podziel wartość na części w cudzysłowach, bez spacji wewnątrz klucza.

Długość klucza i rotacja

Używaj RSA 2048 bitów. Aby wymienić klucz bez przestoju:

Utwórz nowy klucz pod nowym selektorem (np. s2026) i opublikuj go w DNS.
Sprawdź rekord tutaj, podając nowy selektor.
Przełącz podpisywanie na nowy selektor w serwerze pocztowym lub usłudze.
Po kilku dniach, gdy wiadomości ze starym podpisem zostaną doręczone, opublikuj stary selektor z pustym p=, a później go usuń.

Na własnym serwerze klucz wygenerujesz przez OpenDKIM lub OpenSSL:

opendkim-genkey -b 2048 -s s2026 -d example.com
# lub
openssl genrsa -out dkim.key 2048
openssl rsa -in dkim.key -pubout -outform der | base64

DKIM, SPF i DMARC razem

DKIM przetrwa przekazanie wiadomości dalej, a SPF zwykle wtedy się psuje, dlatego podpis DKIM Twoją domeną to najpewniejszy sposób na zaliczenie DMARC. Od lutego 2024 r. Google i Yahoo wymagają od nadawców masowych zarówno SPF, jak i DKIM oraz rekordu DMARC; szczegóły się zmieniają, więc sprawdzaj ich aktualne wytyczne dla nadawców. Sprawdź cały zestaw: SPF, DMARC i rekordy MX.