Проверка DKIM

Проверить DKIM-запись домена и длину ключа подписи

DKIM подписывает каждое письмо ключом, а получатели сверяют подпись с открытым ключом в DNS. Ключ лежит на селектор._domainkey.домен.

Письмо с цифровой подписью DKIM и ключ для её проверки

Как устроены ключи DKIM

Селектор позволяет держать у домена несколько ключей сразу: по одному на почтовый сервис или старый и новый во время замены. Google Workspace использует google, Microsoft 365 selector1 и selector2, Mailchimp k1.

Ключи короче 2048 бит проще взломать, и часть получателей уже считает подписи на 1024 бита слабыми. Меняйте ключи раз или два в год.

Когда это пригодится

Проверить, что новый почтовый сервис подписывает письма вашим доменом
Найти слабые ключи на 1024 бита перед рассылкой
Убедиться, что замена ключа дошла до DNS

Вопросы и ответы

01Как узнать свой селектор DKIM?

Откройте отправленное письмо и найдите заголовок DKIM-Signature: селектор записан в теге s=. Почтовые провайдеры показывают его и в настройках домена.

02Почему ключ не находится?

Селектор может быть неверным, провайдер может просить CNAME, который вы ещё не создали, или DNS не обновился после изменения.

03Какую длину ключа выбрать?

RSA на 2048 бит. Ed25519 поддерживает меньше получателей, поэтому, если используете его, публикуйте рядом RSA-ключ.

04Можно ли держать у домена несколько DKIM-ключей?

Да. У каждого сервиса свой селектор: один у Google Workspace, другой у сервиса рассылок. Ключи живут на разных именах и не мешают друг другу.

05Как часто менять DKIM-ключ?

Раз в 6–12 месяцев. Опубликуйте ключ под новым селектором, переведите подпись на него, а старый удалите через несколько дней, когда дойдут письма со старой подписью.