Бесплатный инструмент
Находим DKIM-ключ домена и читаем его по-настоящему: тип, длину, отозван ли он и не остался ли в тестовом режиме. Знаете свой селектор — впишите. Не знаете — переберём те, которыми пользуются крупные провайдеры.
DKIM подписывает само письмо. Отправляющий сервер считает хеш от набора заголовков и тела, подписывает его закрытым ключом и добавляет результат заголовком DKIM-Signature. Получатель забирает соответствующий открытый ключ из вашего DNS и проверяет подпись.
Именно поэтому DKIM — та половина аутентификации, которая переживает пересылку: подпись едет вместе с письмом, тогда как SPF описывает лишь сервер, который его передал.
На имени <селектор>._domainkey.вашдомен, в TXT-записи с v=DKIM1, типом ключа и самим ключом в p=. Селектор нужен, чтобы домен мог публиковать несколько ключей сразу, — благодаря этому ротация проходит без простоя: публикуете новый ключ на новом селекторе, переключаете подпись на него, через неделю удаляете старый.
p=, и любая подпись им не проходит. t=y), который говорит получателям не реагировать на неудачную проверку. Подпись, проверять которую никто не обязан, ничего не защищает: поддельное письмо просто приходит неподписанным. Обязательной DKIM делает DMARC — он говорит получателям действовать, когда ни DKIM, ни SPF не совпадают с доменом в заголовке From.
Селектор — метка, которая позволяет одному домену публиковать несколько ключей: запись лежит на имени <селектор>._domainkey.вашдомен. Его выбирает тот, кто подписывает вашу почту, и показывает в своей инструкции по DNS: Google Workspace использует google, Microsoft 365 — selector1 и selector2, собственный сервер обычно default или mail. Ещё его можно прочитать в теге s= заголовка DKIM-Signature любого отправленного вами письма.
Нет, и инструмент намеренно так не пишет. Нигде нет записи со списком селекторов домена, поэтому перебор может честно сказать только то, какие селекторы он попробовал. Домен, который подписывает письма собственным селектором, настроен верно и невидим для любого перебора.
Сегодня он проверяется везде. Google, Microsoft и Yahoo рекомендуют 2048, и именно 1024 первым попадёт под отказ. Ротация — это изменение в DNS и перезапуск, так что лучше сделать её до того, как она станет срочной.
Тестовый режим: получателям сказано считать неудачную подпись так, как будто письмо не подписано. Он нужен, чтобы опубликовать ключ до того, как вы ему доверяете, и его регулярно забывают выключить после переезда — DKIM опубликован, виден и не делает ничего.
Почти всегда значение обрезала или переразбила панель DNS. Ключ на 2048 бит — это 392 символа, их нужно разбить на части в кавычках, что одни панели делают сами, а другие нет. Опубликуйте значение целиком и дайте панели разбить его.