Проверка DKIM: ключ и селекторПроверка DKIM
Находит ключ подписи DKIM в DNS, определяет тип и длину и отмечает ключи — слабые, оставленные в тестовом режиме или отозванные.
Что смотрит проверка
- Указанный селектор или 44 популярных
- Тип и длина ключа (RSA / Ed25519)
- Тестовый флаг (t=y) и отозванные ключи
- Делегирование провайдеру через CNAME
- Разрешённые алгоритмы хеша (h=)
Что читает и чего не делает
Читается только DNS: TXT- и CNAME-запись по указанному селектору или по популярным селекторам. Перечислить селекторы через DNS нельзя, поэтому без селектора проверяются только известные имена. Письма не отправляются.
Что такое DKIM?
DKIM (DomainKeys Identified Mail) добавляет к каждому письму криптографическую подпись. Сервер получателя проверяет её открытым ключом, который вы публикуете в DNS по адресу селектор._domainkey.ваш-домен. Если подпись сходится, письмо не меняли по дороге и оно действительно ушло с вашего сервера. Ключ должен быть не короче 1024 бит, рекомендуется 2048.
Читается только DNS: TXT- и CNAME-запись по указанному селектору или по популярным селекторам. Перечислить селекторы через DNS нельзя, поэтому без селектора проверяются только известные имена. Письма не отправляются.
Как читать результат
- Селектор
- У домена может быть несколько ключей, у каждого своё имя — селектор. В заголовках отправленного вами письма в строке DKIM-Signature значение s= — селектор, d= — домен.
- RSA 2048 / 1024
- Рекомендуемая длина — 2048 бит. Ключи на 1024 бита пока принимают, но провайдеры советуют переходить на 2048. Короче 1024 по RFC 8301 не проверяются.
- Ed25519
- Новый тип ключа, короче и надёжнее (RFC 8463). Его проверяют ещё не все получатели, поэтому его публикуют вместе с RSA-ключом.
- CNAME →
- Microsoft 365, SendGrid и другие хранят ключ в своём DNS: ваша запись указывает туда, а провайдер отдаёт и меняет ключ сам.
Частые ошибки и как их исправить
Всё, что может отметить проверка: чем это опасно и что поменять в DNS.
Среди популярных селекторов ключа нет
Почему это важно: Это ещё не значит, что DKIM нет: провайдер может использовать другое имя селектора. Но если ключа нет вообще, письма уходят без подписи.
Что сделать: Откройте заголовки отправленного письма, скопируйте значение s= из строки DKIM-Signature в поле селектора и проверьте ещё раз. Если такой строки нет — включите DKIM в панели провайдера.
По селектору нет записи DKIM
Почему это важно: Письма, подписанные этим селектором, проверить невозможно — для DMARC DKIM не проходит.
Что сделать: Включите DKIM в панели почтового провайдера и добавьте выданную им TXT- или CNAME-запись точно под этим именем: …._domainkey. Проверьте написание и домен в конце.
mail._domainkey.example.ru. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkq…"Ключ короче 1024 бит
Почему это важно: По RFC 8301 подписи ключом короче 1024 бит не должны считаться действительными. Короткий ключ можно взломать.
Что сделать: Создайте ключ не короче 2048 бит, опубликуйте его под новым селектором, переведите на него подпись и отзовите старый, оставив p= пустым.
RSA-ключ на 1024 бита
Почему это важно: 1024 бита пока принимают, но Google и другие крупные провайдеры рекомендуют 2048.
Что сделать: Если провайдер позволяет, создайте ключ на 2048 бит и перейдите на новый селектор. Длинный ключ не помещается в одну строку TXT; большинство DNS-панелей делят его сами.
Включён тестовый режим
Почему это важно: t=y сообщает получателям, что ключ проверяется; часть из них игнорирует ошибки подписи.
Что сделать: Если проверка проходит, удалите тег t=y из записи.
Только SHA-1
Почему это важно: RFC 8301 запрещает использовать и проверять подписи rsa-sha1.
Что сделать: Удалите тег h= или укажите sha256 и переключите алгоритм подписи у провайдера на rsa-sha256.
Частые вопросы
- Как узнать свой селектор DKIM?
- Откройте письмо, отправленное с вашего домена, и посмотрите исходные заголовки (в Gmail — «Показать оригинал», в Яндекс Почте — «Свойства письма»). В строке DKIM-Signature значение s= — селектор, d= — домен подписи.
- Какой длины должен быть ключ DKIM: 1024 или 2048?
- Используйте RSA на 2048 бит. 1024 пока принимают, но для новых настроек не подходит. Некоторые DNS-панели не принимают TXT длиннее 255 символов; если ваша не делит ключ сама, разбейте его на две строки в кавычках.
- Почему вы не находите мою DKIM-запись?
- DNS не позволяет получить список селекторов домена, без селектора его можно только угадать. Мы перебираем 44 популярных. Если у вашего провайдера другое имя, введите его в поле селектора.
- DKIM сам по себе защищает от подделки?
- Нет. DKIM лишь подтверждает подпись, а что делать с поддельным письмом без подписи, решает DMARC. Используйте DKIM вместе с DMARC p=quarantine или p=reject.
Первоисточники
Другие быстрые проверки
Каждая отвечает на один вопрос об одной записи. Регистрация не нужна.
Проверка SPF-записи
Раскрывает SPF-запись домена вместе со всеми include, считает DNS-запросы и показывает ошибки, из-за которых письма попадают в спам.
Проверка DMARC
Разбирает DMARC-запись по тегам: что будет с поддельными письмами, куда уходят отчёты и разрешены ли внешние адреса для отчётов.
Проверка MX-записей
Показывает, на какие серверы доставляется почта вашего домена, в порядке приоритета — с адресом, обратной зоной и провайдером каждого.
Проверка доступности сайта
Пробует открыть сайт из двух разных точек и говорит, лежит ли он у всех или проблема только в вашем подключении.
Проверка срока SSL
Показывает, когда истекает сертификат, сколько дней осталось и кто его выпустил. Основной домен и www проверяются отдельно, напоминание можно добавить в календарь.
Чтобы увидеть все проверки в одном отчёте:Проверка безопасности почты