Перевірка DKIM

Перевірте запис DKIM домену і довжину ключа підпису

DKIM підписує кожен лист ключем, а одержувачі звіряють підпис з публічним ключем у DNS. Ключ лежить на selector._domainkey.domain.

Лист з підписом DKIM і ключ, що його перевіряє

Як працюють ключі DKIM

Селектор дає домену тримати кілька ключів одночасно: по одному на поштовий сервіс або старий і новий під час ротації. Google Workspace використовує google, Microsoft 365 використовує selector1 і selector2, Mailchimp використовує k1.

Ключі коротші за 2048 бітів легше зламати, і деякі одержувачі вже вважають підписи на 1024 біти слабкими. Міняйте ключі раз чи двічі на рік.

Коли це потрібно

Перевірити, що новий поштовий сервіс підписує листи вашим доменом
Знайти слабкі ключі на 1024 біти перед розсилкою
Переконатися, що ротація ключа дійшла до DNS

Питання і відповіді

01Як знайти свій селектор DKIM?

Відкрийте надісланий лист і знайдіть заголовок DKIM-Signature: селектор стоїть у тегу s=. Поштові провайдери показують його і в налаштуваннях домену.

02Чому ключ не знаходиться?

Селектор може бути неправильним, провайдер може просити CNAME, який ви ще не створили, або DNS ще не оновився після зміни.

03Яку довжину ключа обрати?

RSA на 2048 бітів. Ed25519 підтримує менше одержувачів, тож якщо користуєтеся ним, публікуйте поруч ключ RSA.

04Чи можна тримати в домену кілька DKIM-ключів?

Так. У кожного сервісу свій селектор: один у Google Workspace, інший у сервісу розсилок. Ключі живуть на різних іменах і не заважають один одному.

05Як часто міняти DKIM-ключ?

Раз на 6–12 місяців. Опублікуйте ключ під новим селектором, переведіть підпис на нього, а старий видаліть за кілька днів, коли дійдуть листи зі старим підписом.