Создайте правильное DNS-имя хоста и формат TXT-записи DKIM для вашего домена и селектора. Вставьте открытый ключ и опубликуйте запись.
Частые значения: mail, google, s1, default. Используйте селектор, который указывает ваш почтовый провайдер.
DKIM (DomainKeys Identified Mail) — метод аутентификации почты, который позволяет отправителю криптографически подписывать каждое исходящее сообщение. Принимающий почтовый сервер проверяет эту подпись с помощью открытого ключа, опубликованного в DNS отправителя. Действительная подпись DKIM подтверждает два факта: сообщение действительно пришло с указанного домена, и оно не было изменено в пути.
В отличие от SPF, который сверяет IP отправителя со списком разрешённых адресов, DKIM прикрепляет цифровую подпись к самому сообщению. Поэтому проверка DKIM сохраняется при пересылке почты, тогда как SPF часто не проходит: IP пересылающего сервера отсутствует в исходной записи SPF.
Запись DKIM — это DNS TXT-запись, опубликованная на конкретном поддомене: selector._domainkey.yourdomain.com. Селектор — метка, которую вы выбираете: типичные значения — mail, google, s1 или default. Значение записи начинается с v=DKIM1; k=rsa; p= и далее следует открытый ключ в кодировке base64.
Закрытый ключ хранится в секрете на почтовом сервере или у вашего провайдера почтовых услуг. Открытый ключ публикуется в DNS. Принимающие серверы используют открытый ключ для проверки подписей, созданных закрытым ключом — классическая схема криптографии с открытым ключом.
Открытый ключ DKIM создаёт ваш почтовый провайдер при включении подписи DKIM. Ниже — где его найти у самых распространённых провайдеров:
По возможности используйте ключ длиной 2048 бит — ключи на 1024 бита считаются слабыми и могут помечаться некоторыми почтовыми системами. Периодически ротируйте ключи DKIM (не реже раза в год), чтобы ограничить ущерб при компрометации. После ротации оставьте старый ключ в DNS на несколько дней, чтобы успели пройти проверку сообщения, уже находящиеся в пути.
Одного DKIM недостаточно, чтобы защитить видимый заголовок From. Чтобы завершить настройку аутентификации почты, добавьте политику DMARC, которая согласует результаты DKIM с доменом From. Чистый список адресов тоже важен — даже аутентифицированная почта попадает в спам при повторных отказах в доставке. Используйте проверку адресов , чтобы удалить недействительные адреса, или проверьте большие списки с помощью массовой проверки почты.
Ввод ключа и селектора
DNS-запись DKIM публикует открытый ключ под селектором. Соответствующий закрытый ключ должен оставаться внутри системы, которая подписывает исходящие сообщения.
Селектор вроде google, s1 или mail превращается в selector._domainkey.example.com. Разные провайдеры и периоды ротации могут использовать разные селекторы, не заменяя все ключи DKIM домена.
Выберите селектор, который платформа отправки помещает в тег s= заголовка DKIM-Signature. DNS-запись под другим селектором для этого сообщения никогда не будет запрошена.
Значение p= — это открытый ключ в кодировке base64, которым пользуются получатели. Закрытый ключ подписывает сообщения и должен оставаться в секрете у провайдера, агента передачи почты или в защищённой системе ключей.
Этот генератор оформляет DNS-имя владельца и значение TXT вокруг открытого ключа. Он не создаёт и не устанавливает конфигурацию закрытой подписи для вашего почтового потока.
Структура записи
DNS-запись короткая, но каждое поле связано с решением о подписи на уровне сообщения.
Тег версии отличает данные ключа DKIM от другого содержимого TXT. k=rsa указывает тип ключа при использовании RSA, а p= несёт материал открытого ключа без заголовков PEM и без текста закрытого ключа.
Получатель объединяет домен подписи в d= с селектором в s=, чтобы построить DNS-запрос. Сгенерированное имя владельца должно точно совпадать с этой парой, включая любой поддомен отправки.
DNS-провайдеры иногда разбивают длинное значение DKIM на несколько строк в кавычках. DNS склеивает эти строки в ответе TXT; кавычки и пробелы в панели управления автоматически не входят в открытый ключ.
В DNS может быть корректная запись, пока отправитель не добавляет DKIM-Signature, подписывает другим селектором, использует несовпадающий домен или нарушает каноникализацию. После публикации проверьте путь сообщения.
Процесс внедрения
Синхронизируйте публикацию в DNS и подпись в почтовой системе в четыре явных шага.
Используйте настройку аутентификации домена у провайдера или поддерживаемые средства ключей на почтовом сервере. Выберите актуальный размер ключа, который поддерживают и отправитель, и DNS-хост, и никогда не вставляйте закрытый ключ на эту страницу.
Введите точный домен отправки, селектор и открытый ключ. Копируйте имя владельца и значение отдельно: интерфейсы DNS по-разному автоматически добавляют имя зоны.
Дождитесь применимого TTL в DNS, затем используйте проверку записи DKIM, чтобы подтвердить, что selector._domainkey возвращает ожидаемый открытый ключ.
Проверьте полученные заголовки DKIM-Signature и Authentication-Results на ожидаемые домен d=, селектор s= и dkim=pass. Успех в DNS без pass на уровне сообщения — незавершённое внедрение.
Границы безопасности
Публичная запись — лишь обращённая к получателю половина DKIM.
Хранение закрытого ключа, контроль доступа, настройка службы подписи и ротация при инциденте относятся к вашему почтовому провайдеру или серверу. Утечка закрытого ключа позволяет другой системе создавать подписи, которым получатели могут доверять.
Почтовая система решает, какие заголовки и какое представление тела подписывать. Посредники, изменяющие подписанное содержимое, могут сделать подпись недействительной, даже если ключ в DNS верен.
Опубликуйте запись SPF, чтобы описать разрешённых отправителей конверта. DKIM и SPF дают разные доказательства и должны внедряться вместе.
Используйте генератор DMARC, чтобы указать, как получатели должны обрабатывать почту, если согласованные SPF и DKIM не подтверждают видимый домен From.
Авторитетный источник
Стандарт связывает открытые ключи в DNS с полями подписи, добавляемыми к каждому сообщению.
Документ IETF RFC 6376 определяет пространство имён _domainkey, поиск селектора, теги DKIM-Signature, каноникализацию, подпись и поведение проверки.
Проверьте открытый ключ с помощью проверки DKIM, изучите реальные заголовки писем и подтвердите согласование через проверку DMARC.
Выберите следующий инструмент по типу данных: получатель, поиск адресов, DNS и инфраструктура или процесс отправителя.
Бесплатные инструменты
Проверьте запись DKIM для любого домена и селектора. Посмотрите полный открытый ключ и правильность настройки подписи. Бесплатно, без регистрации.
Данные о домене или инфраструктуре — не подтверждение существования ящика.
Бесплатные инструменты
Создайте корректную SPF DNS-запись для домена за секунды. Добавьте почтовые серверы, директивы include и выберите политику. Бесплатно, без регистрации.
Данные о домене или инфраструктуре — не подтверждение существования ящика.
Бесплатные инструменты
Создайте DNS TXT-запись DMARC с политикой, выравниванием и отчётами. Бесплатный генератор аутентификации почты домена.
Данные о домене или инфраструктуре — не подтверждение существования ящика.
Бесплатные инструменты
Проверьте записи A, AAAA, MX, TXT, NS или CNAME для любого домена. Живой DNS-запрос с мгновенным результатом. Бесплатно, без регистрации.
Данные о домене или инфраструктуре — не подтверждение существования ящика.
Инструменты email
Запустите тест доставляемости email на реальном образце письма. Проверьте SPF, DKIM, DMARC, DNS, blacklist, спам-фильтр, заголовки и содержимое.
Диагностика отправителя или письма — не поиск адресов.
Инструменты проверки email
Проверьте, действителен ли email, бесплатным верификатором: синтаксис, MX, SMTP-ящик, disposable, role и catch-all.
Данные о получателе — не о отправителе и не о DNS-конфигурации.
Селектор DKIM — короткое имя (например, mail или google), которое указывает на конкретный открытый ключ в DNS. Он позволяет публиковать несколько ключей для одного домена — например, один для Google Workspace и другой для сервиса почтовых рассылок.
Опубликуйте её как TXT-запись по адресу selector._domainkey.yourdomain.com. Замените selector на значение от провайдера, а yourdomain.com — на ваш домен отправки.
SPF проверяет IP подключения. После пересылки IP меняется, и SPF часто не проходит. DKIM подписывает содержимое письма и выбранные заголовки, поэтому проверка работает и после нескольких пересылок.
Предпочитайте ключи на 2048 бит, если ваш DNS-провайдер поддерживает длинные значения TXT. Некоторые старые хосты требуют разбивать длинные записи; большинство современных провайдеров нормально обрабатывают ключи на 2048 бит.
Нет. Используйте оба. SPF авторизует IP отправки; DKIM подписывает сообщения. DMARC затем согласует эти результаты с доменом From и указывает получателям, что делать при сбое.
Отправьте тестовое письмо на ящик, которым вы управляете, откройте исходные заголовки и найдите dkim=pass в Authentication-Results. Можно также воспользоваться нашим инструментом Email Header Analyzer.
Аутентификация защищает домен. Чистые списки защищают репутацию. BillionVerify проверяет адреса с точностью на уровне SMTP.
600 кредитов/мес + бонус 20/день · Точность SMTP 99,9% · Мгновенный доступ к API · Карта не нужна
