DKIM レコードチェッカー

selector._domainkey.domain にレコードがない場合、そのセレクターで DKIM 署名が未設定か、DNS レコードがまだ伝播していない可能性があります。メールプロバイダーの DKIM 設定ページでセレクター名と有効化状態を確認してください。DNS 変更の世界全体への伝播には最大 48 時間かかることがあります。

セレクターはメールプロバイダーが割り当てます。管理コンソールの DKIM 設定を確認してください。一般的なセレクターは Google Workspace の 'google'、Microsoft 365 の 'selector1'、セルフホストの 'mail'、SendGrid の 's1' などです。送信したメールの DKIM-Signature ヘッダーの s=selectorname でも確認できます。

はい。各セレクターは別サブドメイン上の独立した DNS レコードです。メールプロバイダーごとに 1 つ、テストや鍵ローテーション用の追加セレクターも持てます。すべて同時に有効です。DMARC は From ドメインに整合する少なくとも 1 つの DKIM 合格を求めます。

RSA-2048 が現在の標準です。1024 ビット未満の鍵は、ほとんどの現行メールサーバーで拒否されます。1024 ビットは技術的には有効ですが弱いとされます。RSA-2048 は強力なセキュリティを提供し、主要メールプロバイダーすべてでサポートされます。Ed25519 鍵はより小さく同等に安全ですが、まだ普遍的にはサポートされていません。

一般的な原因: 転送中に本文やヘッダーが変更された（メーリングリストがメッセージを改変することがある）、DKIM-Signature ヘッダーのセレクターが誤っている、メールサーバーの秘密鍵と DNS の公開鍵が一致しない、レコードを最近変更して古い鍵がキャッシュされている、など。Email Header Analyzer で正確な DKIM 署名と参照ドメイン・セレクターを確認できます。

DKIM レコードの t=y フラグはドメインがテストモードであることを意味します。受信サーバーはこのドメインからの DKIM 失敗を罰せず、DKIM レコードがない場合と同様に扱います。本番で DKIM が正しく動作したらこのフラグを外し、完全な強制を有効にしてください。