Бесплатная проверка получает актуальную запись DKIM по адресу selector._domainkey, валидирует открытый ключ и выявляет обрезку, слабую длину ключа и тестовый режим. Проверка и валидатор в одном инструменте, без регистрации.
Проверка DKIM запрашивает TXT-запись по адресу selector._domainkey.yourdomain и валидирует найденный открытый ключ. В отличие от SPF и DMARC, фиксированного имени хоста нет, поэтому требуется селектор: даже идеальная запись DKIM по неверному селектору останется недоступной.
Эта бесплатная проверка записей DKIM анализирует ключ, а не просто сообщает о наличии строки. Чаще всего встречается обрезка: открытый ключ DKIM длинный, и DNS-панели разделяют длинные значения TXT так, что запись выглядит правильной в панели, но не проходит валидацию. Это обнаруживается только при проверке актуальных данных DKIM.
Это не просто поиск, а проверка и валидация записи DKIM: инструмент сообщает длину и тип ключа, наличие тега v=DKIM1 и тестового флага t=y. Запускайте проверку DKIM после каждой публикации и любой ротации ключей у провайдера.
Если селектор неизвестен, посмотрите тег s= в заголовке DKIM-Signature отправленного вами письма. Эти значения по умолчанию чаще всего встречаются при проверке записей DKIM.
Google Workspace по умолчанию подписывает письма с селектором google. Сначала запросите его в проверке DKIM.
Microsoft 365 использует selector1 и selector2 через CNAME. Проверьте оба селектора.
SendGrid использует селекторы s1 и s2 через записи CNAME. Проверка DKIM автоматически проходит по всей цепочке.
Amazon SES публикует три селектора CNAME. После настройки проверьте каждый из них.
Какие данные запрашиваются
Проверка DKIM получает TXT-запись по адресу selector._domainkey и валидирует найденный открытый ключ. Именно по этому адресу скрывается большинство проблем: идеальная запись по неверному селектору недоступна, и ни один инструмент не сможет её найти.
В отличие от SPF и DMARC, фиксированного имени хоста для запроса нет. Селектор нужен потому, что запись DKIM находится только по адресу selector._domainkey.yourdomain.
Если селектор неизвестен, посмотрите заголовок DKIM-Signature отправленного вами письма. Тег s= содержит селектор, необходимый для проверки записи DKIM.
Запись DKIM может существовать и при этом быть неисправной: её могла обрезать DNS-панель, в ней может отсутствовать тег v=DKIM1 или находиться повреждённый ключ base64. Бесплатный инструмент анализирует ключ, а не просто сообщает о наличии строки.
Чаще всего встречается обрезка. Открытый ключ DKIM длинный, и панели разделяют длинные значения TXT так, что запись выглядит правильной, но не проходит валидацию.
Современный стандарт — 2048-битный RSA. Проверка и валидатор записей DKIM показывают, что опубликовано на самом деле. Так можно найти 1024-битный ключ, который провайдер настроил много лет назад и никто не заменил.
На практике тип ключа менее важен: почти во всех конфигурациях используется RSA.
Тег t=y помечает запись DKIM как тестовую, и получатели соответствующим образом относятся к подписям. Тестовый режим, оставленный после запуска, — распространённая ошибка.
Если проверка DKIM игнорирует тег t, она назовёт запись действительной, хотя получатели будут меньше доверять каждой связанной с ней подписи.
Результаты
Пять результатов, для каждого — своё исправление.
Либо селектор неверен, либо запись не была опубликована. Прежде чем считать её отсутствующей, проверьте тег s= в заголовке DKIM-Signature реального письма.
Проверка DKIM не может угадать селектор, а испытать несколько вариантов быстрее, чем искать ответ в документации провайдера.
Классическая ошибка DNS-панели. Бесплатная проверка записей DKIM сообщит о повреждённом ключе, даже если в панели он выглядит полным.
Опубликуйте запись заново, желательно вставив её как одно непрерывное значение, и повторите проверку после распространения DNS.
Ключ действителен, но слабее рекомендуемого. Сейчас большинство провайдеров выпускают 2048-битные ключи и поддерживают их ротацию.
Выполните ротацию через провайдера, а не редактируйте запись вручную; проверка DKIM подтвердит, что новый ключ разрешается.
Тег t=y всё ещё установлен. Получатели понимают, что на такую подпись нельзя полагаться в рабочей среде.
Удалите флаг и опубликуйте запись заново. Проверка и валидатор записей DKIM находят эту однобуквенную ошибку за секунды, хотя незамеченной она может оставаться годами.
Успешная проверка DKIM и выравнивание DKIM — разные вещи. Чтобы DMARC принял подпись, её домен должен совпадать с видимым доменом From.
Посмотрите заголовок Authentication-Results реального письма: одна лишь проверка записи DKIM не видит выравнивание.
Когда запускать проверку
DKIM ломается незаметно, а единственным признаком может стать тихий сбой выравнивания почты спустя несколько недель. Поэтому проверять DKIM нужно регулярно, а не только в экстренной ситуации.
Из-за распространения DNS и искажения данных панелью сохранённая запись не всегда совпадает с отдаваемой. Запустите любую бесплатную проверку DKIM сразу после завершения распространения.
Одна эта привычка позволяет обнаружить обрезку до того, как она повлияет на почту.
Провайдеры меняют ключи DKIM по собственному графику. Конфигурации на основе CNAME обновляются автоматически, а на основе TXT — нет.
Повторяйте проверку DKIM после каждого уведомления провайдера о ротации ключей.
В агрегированных отчётах указан источник сбоя. Прежде чем винить провайдера, запросите его селектор с помощью проверки записей DKIM.
В половине случаев запись просто отсутствует для отправителя, которого забыли настроить.
Переход на p=reject при неисправной записи DKIM у любого законного отправителя приведёт к потере реальных писем в первый же день.
Сначала проверьте каждый селектор, а затем и список получателей с помощью Проверки адресов электронной почты — ошибки аутентификации и гигиены списка независимо друг от друга срывают кампании.
Ограничения
Проверка записей DKIM получает одну запись. Четыре аспекта остаются за её пределами.
Опубликованная запись и провайдер, который действительно подписывает письма, — разные состояния. Проверка DKIM читает DNS, но не определяет, добавляет ли ваш ESP подпись.
Отправьте тестовое письмо и посмотрите заголовок DKIM-Signature, чтобы убедиться, что подписание работает.
Успешная проверка DKIM и выравнивание с видимым доменом From — разные вещи. Разницу показывает только оценка DMARC.
Даже безупречный результат проверки DKIM для невыровненного домена подписи не пройдёт DMARC.
Получить список селекторов из DNS невозможно. Для проверки DKIM нужен селектор, а надёжный источник — ваш провайдер или заголовок DKIM-Signature реального письма.
Это свойство протокола, а не ограничение инструмента.
Аутентификация отправителя и проверка получателей не связаны. Идеальная запись DKIM не означает, что адреса рассылки существуют.
Проверьте и то и другое до запуска кампании.
Справка
DKIM определён IETF, а соседние инструменты дополняют возможности этой проверки.
Стандарт IETF RFC 6376 определяет DKIM, его теги и правила использования селекторов, по которым валидируется запись.
Каждый результат нашей бесплатной проверки записей DKIM связан с правилом из этого документа.
Если проверка DKIM ничего не нашла, Генератор записей DKIM создаст действительную запись с правильным именем хоста селектора.
Создайте запись там, а здесь проверьте её: по отдельности ни один из инструментов не обнаружит искажение данных панелью.
DKIM — лишь одна из трёх частей. Проверка SPF и проверка DMARC охватывают авторизацию IP и выравнивание домена From.
Безупречный результат проверки DKIM для домена без политики DMARC означает, что письма подписаны, но домен всё ещё можно подделать.
Девятнадцать бесплатных инструментов в дополнение к платным функциям ИИ — ни один не требует аккаунта.
Бесплатные инструменты
Бесплатно создайте TXT-запись v=DKIM1 и имя selector._domainkey для любого провайдера. Генератор DNS-записей DKIM без регистрации.
Данные о домене или инфраструктуре — не подтверждение существования ящика.
Бесплатные инструменты
Бесплатно проверьте SPF-запись домена: получите актуальные данные, посчитайте DNS-запросы и найдите ошибки синтаксиса. Без регистрации.
Бесплатные инструменты
Бесплатная проверка записи DMARC: актуальные DNS, разбор всех тегов и фактическая политика для любого домена. Валидация без регистрации.
Бесплатные инструменты
Бесплатно проверяйте A, AAAA, MX, TXT, NS, CNAME и SOA любого домена на авторитетных серверах имён. Без регистрации и кэша.
Инструменты email
Бесплатно анализируйте заголовки писем: вердикты SPF, DKIM и DMARC, полный маршрут доставки и ключевые поля. Работает онлайн в браузере.
Диагностика отправителя или письма — не поиск адресов.
Инструменты email
Бесплатный тест доставляемости: отправьте письмо и получите оценки аутентификации, DNS, спам-фильтров, чёрных списков, заголовков и содержимого.
Да — наша бесплатная проверка записей DKIM не требует регистрации и аккаунта. Проверяйте сколько угодно доменов и селекторов. При каждом запросе инструмент обращается к актуальным данным DNS, а не показывает сохранённый результат DKIM.
Потому что запись DKIM находится по адресу selector._domainkey.yourdomain, а получить список селекторов из DNS невозможно. Проверка и валидатор записей DKIM не могут его угадать. Посмотрите тег s= в заголовке DKIM-Signature реального письма или обратитесь к документации провайдера.
Почти всегда причина в том, что DNS-панель обрезала значение. Открытый ключ DKIM длинный, и многие панели при сохранении разделяют или обрезают длинные значения TXT. Наша бесплатная проверка записей DKIM показывает данные, которые действительно отдают ваши серверы имён, — только их видят получатели. Опубликуйте значение заново одной непрерывной строкой и повторите проверку DKIM.
Тег t=y помечает запись как тестовую, и получатели меньше доверяют связанным с ней подписям. Проверка и валидатор записей DKIM отмечают этот тег, поскольку оставленный после запуска тестовый режим — распространённая ошибка, которую долго не замечают.
Такой ключ действителен, но слабее рекомендуемого. Сейчас большинство провайдеров выпускают 2048-битные ключи. Выполните ротацию через провайдера, а не редактируйте запись вручную, затем убедитесь с помощью проверки DKIM, что новый ключ разрешается без ошибок.
Успешная проверка DKIM и выравнивание DKIM — разные вещи: домен подписи должен совпадать с видимым доменом From. Даже безупречная запись для невыровненного домена подписи не пройдёт DMARC. Посмотрите заголовок Authentication-Results реального письма, чтобы понять причину сбоя.
Эта бесплатная проверка записей DKIM не требует регистрации. Получите актуальную запись по селектору, проверьте ключ и выявите обрезку раньше получателей.
Бесплатная проверка записей DKIM · Проверка DKIM по актуальным данным DNS · Проверка и валидатор записей DKIM · Проверка DKIM без аккаунта
