To bezpłatne narzędzie pobiera aktualny rekord DKIM spod adresu selector._domainkey, waliduje klucz publiczny i wykrywa obcięcie, zbyt małą długość klucza oraz tryb testowy. Sprawdzanie i walidacja rekordów DKIM w jednym, bez rejestracji.
Narzędzie do sprawdzania DKIM pobiera rekord TXT spod adresu selector._domainkey.yourdomain i waliduje znaleziony klucz publiczny. W przeciwieństwie do SPF lub DMARC nie ma tu stałej nazwy hosta, dlatego narzędzie prosi o selektor — idealny rekord DKIM pod niewłaściwym selektorem jest po prostu nieosiągalny.
To bezpłatne narzędzie analizuje klucz DKIM, zamiast jedynie potwierdzać istnienie ciągu znaków. Najczęstszym błędem jest obcięcie: klucz publiczny DKIM jest długi, a panele DNS dzielą długie wartości TXT w sposób, który sprawia, że rekord wygląda w panelu poprawnie, lecz nie przechodzi walidacji. Wykryje to tylko sprawdzenie aktualnego rekordu DKIM.
To narzędzie sprawdza i waliduje rekord DKIM, a nie tylko go wyszukuje: raportuje długość i typ klucza, tag v=DKIM1 oraz flagę trybu testowego t=y. Uruchamiaj je po każdej publikacji i każdej rotacji klucza przez dostawcę.
Jeśli nie znasz selektora, odczytaj tag s= z nagłówka DKIM-Signature wysłanej wiadomości. Poniżej znajdziesz wartości domyślne najczęściej wykrywane podczas sprawdzania rekordów DKIM.
Google Workspace domyślnie podpisuje wiadomości przy użyciu selektora google. Najpierw sprawdź go w narzędziu DKIM.
Microsoft 365 używa selektorów selector1 i selector2 za pośrednictwem CNAME. Sprawdź oba w narzędziu DKIM.
SendGrid używa selektorów s1 i s2 za pośrednictwem rekordów CNAME. Narzędzie do sprawdzania DKIM automatycznie podąża za łańcuchem.
Amazon SES publikuje trzy selektory CNAME. Po konfiguracji sprawdź każdy z nich w narzędziu DKIM.
Co jest pobierane
Narzędzie do sprawdzania DKIM pobiera rekord TXT spod adresu selector._domainkey i waliduje znaleziony klucz publiczny. Właśnie pod tą nazwą hosta kryje się większość problemów z DKIM: idealny rekord pod niewłaściwym selektorem jest nieosiągalny i żadne narzędzie go nie znajdzie.
W przeciwieństwie do SPF lub DMARC nie ma stałej nazwy hosta, którą można odpytać. Narzędzie wymaga selektora, ponieważ rekord DKIM znajduje się wyłącznie pod adresem selector._domainkey.yourdomain.
Jeśli nie znasz selektora, odczytaj nagłówek DKIM-Signature wysłanej wiadomości. Tag s= zawiera selektor wymagany do sprawdzenia rekordu DKIM.
Rekord DKIM może istnieć, a mimo to być uszkodzony: panel DNS mógł go obciąć, może brakować tagu v=DKIM1 albo klucz base64 może być nieprawidłowy. Bezpłatne narzędzie analizuje klucz, zamiast jedynie potwierdzać istnienie ciągu znaków.
Najczęstszym problemem jest obcięcie. Klucz publiczny DKIM jest długi, a panele dzielą długie wartości TXT w sposób, który sprawia, że rekord wygląda poprawnie, lecz nie przechodzi walidacji.
2048-bitowy RSA to współczesna wartość domyślna. Narzędzie do sprawdzania i walidacji rekordów DKIM pokazuje faktycznie opublikowane dane, dzięki czemu można znaleźć 1024-bitowy klucz skonfigurowany przez dostawcę wiele lat temu i nigdy nierotowany.
Typ klucza ma w praktyce mniejsze znaczenie — niemal każde wdrożenie korzysta z RSA.
Tag t=y oznacza rekord DKIM jako testowy, a odbiorcy odpowiednio traktują jego podpisy. Pozostawienie rekordów w trybie testowym po uruchomieniu usługi to częste przeoczenie.
Narzędzie do sprawdzania DKIM, które ignoruje tag t, uzna rekord za prawidłowy, choć odbiorcy będą przywiązywać mniejszą wagę do każdego objętego nim podpisu.
Wyniki
Pięć wyników, a dla każdego konkretne rozwiązanie.
Selektor jest niewłaściwy albo rekord nigdy nie został opublikowany. Zanim uznasz, że rekordu brakuje, sprawdź tag s= w nagłówku DKIM-Signature rzeczywistej wiadomości.
Narzędzie do sprawdzania DKIM nie może odgadnąć selektora, a wypróbowanie kilku selektorów jest szybsze niż czytanie dokumentacji dostawcy.
To klasyczny błąd panelu DNS. Bezpłatne narzędzie do sprawdzania rekordów DKIM zgłosi nieprawidłowy klucz, choć panel pokazuje go jako kompletny.
Opublikuj rekord ponownie, najlepiej wklejając go jako jedną nieprzerwaną wartość, a po rozpropagowaniu ponownie sprawdź rekord DKIM.
Jest prawidłowy, ale słabszy, niż powinien. Większość dostawców wydaje obecnie klucze 2048-bitowe i obsługuje ich rotację.
Przeprowadź rotację za pośrednictwem dostawcy zamiast ręcznie edytować rekord; narzędzie do sprawdzania DKIM potwierdzi, że nowy klucz jest prawidłowo pobierany.
Tag t=y nadal jest ustawiony. Odbiorcy wiedzą, że w środowisku produkcyjnym nie należy ufać temu podpisowi.
Usuń flagę i opublikuj rekord ponownie. To poprawka jednego znaku, którą narzędzie do sprawdzania i walidacji rekordów DKIM znajduje w kilka sekund, choć bez kontroli może pozostać niezauważona przez lata.
Pomyślna weryfikacja DKIM i zgodność DKIM to dwie różne rzeczy. Aby DMARC zaakceptował podpis, domena podpisująca musi odpowiadać widocznej domenie From.
Odczytaj nagłówek Authentication-Results rzeczywistej wiadomości; samo narzędzie do sprawdzania rekordów DKIM nie wykryje zgodności.
Kiedy sprawdzać
DKIM przestaje działać bez wyraźnego ostrzeżenia, a jedynym objawem bywa dyskretna utrata zgodności poczty wiele tygodni później. Dlatego sprawdzanie DKIM powinno być rutyną, a nie działaniem awaryjnym.
Propagacja i zniekształcenia w panelu sprawiają, że zapisany rekord nie zawsze jest identyczny z udostępnianym. Gdy propagacja się zakończy, uruchom dowolne bezpłatne narzędzie do sprawdzania rekordów DKIM.
Ten jeden nawyk pozwala wykryć obcięcie, zanim wpłynie ono na jakąkolwiek wiadomość.
Dostawcy rotują klucze DKIM według własnego harmonogramu. Konfiguracje oparte na CNAME aktualizują się automatycznie, a konfiguracje oparte na TXT — nie.
Po każdym powiadomieniu dostawcy o rotacji kluczy ponownie sprawdź DKIM.
Raporty zbiorcze wskazują źródło błędu. Zanim uznasz, że winny jest dostawca, odpytaj jego selektor za pomocą narzędzia do sprawdzania rekordów DKIM.
W połowie przypadków po prostu brakuje rekordu dla nadawcy, którego nikt nie pamiętał skonfigurować.
Przejście na p=reject przy uszkodzonym rekordzie DKIM któregokolwiek prawidłowego nadawcy spowoduje utratę rzeczywistych wiadomości już pierwszego dnia.
Najpierw sprawdź każdy selektor, a następnie zweryfikuj również listę odbiorców za pomocą Weryfikatora adresów e-mail — uwierzytelnianie i higiena listy mogą niezależnie zaszkodzić kampanii.
Ograniczenia
Narzędzie do sprawdzania rekordów DKIM pobiera jeden rekord. Cztery kwestie pozostają poza jego zakresem.
Opublikowany rekord i dostawca, który rzeczywiście podpisuje wiadomości, to dwa różne stany. Narzędzie do sprawdzania DKIM odczytuje DNS; nie może stwierdzić, czy dostawca ESP stosuje podpis.
Wyślij wiadomość testową i odczytaj nagłówek DKIM-Signature, aby potwierdzić, że podpisywanie działa.
Pomyślna weryfikacja DKIM i zgodność DKIM z widoczną domeną From to osobne kwestie. Różnicę ujawnia dopiero ocena DMARC.
Poprawny wynik sprawdzania DKIM dla niezgodnej domeny podpisującej nadal oznacza błąd DMARC.
Selektorów nie da się wyliczyć na podstawie DNS. Narzędzie do sprawdzania DKIM wymaga selektora, a wiarygodnym źródłem jest dostawca lub nagłówek DKIM-Signature rzeczywistej wiadomości.
To właściwość protokołu, a nie ograniczenie narzędzia.
Uwierzytelnianie nadawcy i weryfikacja odbiorcy nie są ze sobą powiązane. Idealny rekord DKIM nie oznacza, że adresy, na które wysyłasz wiadomości, istnieją.
Przed kampanią wykonaj oba sprawdzenia.
Materiały źródłowe
DKIM jest zdefiniowany przez IETF, a narzędzia towarzyszące temu narzędziu do sprawdzania DKIM obejmują kwestie, których ono nie sprawdza.
Dokument IETF RFC 6376 definiuje DKIM, jego tagi oraz konwencję selektorów, z którą narzędzie porównuje rekord DKIM.
Każdy wynik zgłaszany przez nasze bezpłatne narzędzie do sprawdzania rekordów DKIM odpowiada regule z tego dokumentu.
Jeśli narzędzie do sprawdzania DKIM niczego nie znajdzie, Generator rekordów DKIM utworzy prawidłowy rekord pod właściwą nazwą hosta selektora.
Wygeneruj rekord tam, a tutaj zweryfikuj go narzędziem do sprawdzania DKIM; żadne z tych narzędzi samodzielnie nie wykryje zniekształcenia w panelu.
DKIM to jedna z trzech części. Narzędzie do sprawdzania SPF oraz narzędzie do sprawdzania DMARC obejmują autoryzację IP i zgodność domeny From.
Poprawny wynik sprawdzania rekordu DKIM w domenie bez polityki DMARC oznacza, że wiadomość jest podpisana, ale nadal można podszyć się pod jej nadawcę.
Dziewiętnaście bezpłatnych narzędzi obok płatnych funkcji AI — żadne nie wymaga konta.
Darmowe narzędzia
Darmowy generator rekordów DKIM: utwórz rekord TXT v=DKIM1 i host selector._domainkey dla dowolnego dostawcy. Bez rejestracji.
Dowód domeny lub infrastruktury — nie potwierdzenie skrzynki.
Darmowe narzędzia
Darmowe sprawdzanie rekordu SPF: odczytaj bieżący rekord domeny, policz zapytania DNS i zweryfikuj składnię. Bez rejestracji.
Darmowe narzędzia
Darmowa sprawdzarka rekordów DMARC: pobierz bieżący rekord dowolnej domeny, przeanalizuj wszystkie tagi i poznaj obowiązującą politykę. Bez rejestracji.
Darmowe narzędzia
Darmowe wyszukiwanie rekordów A, AAAA, MX, TXT, NS, CNAME i SOA dowolnej domeny na żywo z autorytatywnych serwerów nazw. Bez rejestracji.
Narzędzia e-mail
Darmowy analizator nagłówków e-mail: wklej surowe nagłówki i sprawdź wyniki SPF, DKIM, DMARC, pełną ścieżkę dostawy oraz kluczowe pola.
Diagnostyka nadawcy lub wiadomości — nie odkrywanie adresów.
Narzędzia e-mail
Darmowy test dostarczalności: wyślij wiadomość i sprawdź uwierzytelnianie, DNS, filtry spamu, blacklisty, nagłówki oraz treść. Bez rejestracji.
Tak — nasze bezpłatne narzędzie do sprawdzania rekordów DKIM nie wymaga rejestracji ani konta. Możesz sprawdzić dowolną liczbę domen i selektorów. Przy każdym żądaniu odpytuje aktualny DNS, zamiast zwracać wynik DKIM z pamięci podręcznej.
Rekord DKIM znajduje się pod adresem selector._domainkey.yourdomain, a selektorów nie da się wyliczyć na podstawie DNS. Narzędzie do sprawdzania i walidacji rekordów DKIM nie może go odgadnąć. Odczytaj tag s= z nagłówka DKIM-Signature rzeczywistej wiadomości albo zajrzyj do dokumentacji dostawcy.
Niemal zawsze przyczyną jest obcięcie wartości przez panel DNS. Klucz publiczny DKIM jest długi, a wiele paneli podczas zapisywania dzieli lub ucina długie wartości TXT. Nasze bezpłatne narzędzie do sprawdzania rekordów DKIM pokazuje dane faktycznie udostępniane przez serwery nazw — jedyną wersję widoczną dla odbiorców. Opublikuj rekord ponownie jako jedną nieprzerwaną wartość i sprawdź go jeszcze raz.
Tag t=y oznacza rekord jako testowy, a odbiorcy przywiązują mniejszą wagę do objętych nim podpisów. Narzędzie do sprawdzania i walidacji rekordów DKIM zgłasza ten tag, ponieważ pozostawienie rekordu w trybie testowym po uruchomieniu usługi to częste i długotrwałe przeoczenie.
Taki klucz jest prawidłowy, ale słabszy, niż powinien. Większość dostawców wydaje obecnie klucze 2048-bitowe. Przeprowadź rotację za pośrednictwem dostawcy zamiast ręcznie edytować rekord, a następnie sprawdź w narzędziu DKIM, czy nowy klucz jest prawidłowo pobierany.
Pomyślna weryfikacja DKIM i zgodność DKIM to dwie różne rzeczy: domena podpisująca musi odpowiadać widocznej domenie From. Poprawny wynik sprawdzania rekordu DKIM dla niezgodnej domeny podpisującej nadal oznacza błąd DMARC. Odczytaj nagłówek Authentication-Results rzeczywistej wiadomości, aby ustalić, który etap zawiódł.
To bezpłatne narzędzie do sprawdzania rekordów DKIM nie wymaga rejestracji. Pobierz aktualny rekord dla selektora, zweryfikuj klucz i wykryj obcięcie, zanim zrobią to odbiorcy.
Bezpłatne sprawdzanie rekordów DKIM · Sprawdzanie DKIM w aktualnym DNS · Sprawdzanie i walidacja rekordów DKIM · Sprawdzanie DKIM bez konta
