Sprawdzanie DKIM — darmowy test rekordu i klucza DKIM

Czym jest DKIM?

DKIM (DomainKeys Identified Mail, RFC 6376) dodaje podpis cyfrowy do każdej wychodzącej wiadomości. Serwer wysyłający podpisuje wybrane nagłówki i treść kluczem prywatnym, a serwer odbiorczy weryfikuje podpis kluczem publicznym opublikowanym w DNS. Poprawny podpis dowodzi, że wiadomość została autoryzowana przez domenę i nie zmieniono jej po drodze.

Klucz publiczny znajduje się w rekordzie TXT pod <selektor>._domainkey.<domena>. Selektor pozwala publikować kilka kluczy jednocześnie — na przykład jeden dla Google Workspace, a drugi dla usługi newslettera.

Jak znaleźć swój selektor DKIM

Otwórz dowolną wiadomość wysłaną z Twojej domeny, wyświetl oryginał lub pełne nagłówki i znajdź nagłówek DKIM-Signature. Tag s= zawiera selektor, a d= domenę podpisującą. Na przykład s=google; d=example.com oznacza, że klucz znajduje się pod google._domainkey.example.com.

Jeśli zostawisz pole selektora puste, narzędzie sprawdzi selektory najczęściej używane przez popularnych dostawców, takie jak google, selector1 i selector2 (Microsoft 365), k1 (Mailchimp), s1 i s2 (SendGrid) i wiele innych.

Przykład rekordu DKIM

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA…

v identyfikuje rekord, k określa typ klucza, a p zawiera klucz publiczny w Base64. Puste p= oznacza, że klucz unieważniono.

Co sprawdza to narzędzie

Czy rekord dla selektora istnieje i czy opublikowano tylko jeden.
Składnię każdego tagu, w tym opcjonalnego tagu wersji v=DKIM1.
Czy klucz publiczny poprawnie się dekoduje oraz jego rzeczywistą długość w bitach.
Typ klucza (rsa lub ed25519), dozwolone algorytmy skrótu i flagę testową t=y.
Klucze unieważnione z pustym tagiem p=.

Zalecana długość klucza DKIM

Używaj 2048-bitowych kluczy RSA. Klucze 1024-bitowe są jeszcze akceptowane, ale uznawane za słabe, a krótsze niż 1024 bity odrzucają Gmail, Outlook i inni duzi dostawcy. Niektórzy dostawcy DNS ograniczają jeden ciąg TXT do 255 znaków; klucz 2048-bitowy jest wtedy dzielony na kilka ciągów — to normalne i obsługiwane automatycznie.

Regularnie zmieniaj klucze: opublikuj nowy klucz pod nowym selektorem, przełącz na niego podpisywanie, a stary unieważnij, publikując pustą wartość p=.

Przetestuj DKIM od początku do końca

Poprawny rekord DNS to tylko połowa sukcesu — Twój serwer musi też podpisywać wiadomości odpowiednim kluczem prywatnym. Wyślij wiadomość na darmowy tymczasowy adres TempBox i otwórz jej nagłówki, aby potwierdzić, że DKIM, SPF i DMARC przechodzą.

Najczęściej zadawane pytania

Jak sprawdzić mój rekord DKIM?

Wpisz domenę i selektor DKIM w formularzu powyżej. Jeśli nie znasz selektora, zostaw pole puste — narzędzie automatycznie sprawdzi najpopularniejsze.

Czym jest selektor DKIM?

Selektor to nazwa wskazująca na konkretny klucz DKIM. Odbiorcy szukają klucza pod <selektor>._domainkey.<domena>. Selektor widać w tagu s= nagłówka DKIM-Signature każdej wysłanej wiadomości.

Dlaczego nie znaleziono mojego rekordu DKIM?

Najczęstsze przyczyny to zły selektor, rekord dodany pod złą nazwą DNS (np. z podwójnie dopisaną domeną) lub zmiana, która jeszcze się nie rozeszła. Porównaj tagi s= i d= wysłanej wiadomości ze swoim DNS.

Czy 1024-bitowy klucz DKIM jest nadal w porządku?

Działa, ale dziś zalecanym minimum jest 2048 bitów. Klucze krótsze niż 1024 bity są odrzucane przez dużych dostawców poczty.

Co oznacza pusty tag p=?

Pusta wartość p= oznacza, że klucz unieważniono. Każda wiadomość podpisana odpowiadającym mu kluczem prywatnym nie przejdzie weryfikacji DKIM.

Czy domena może mieć kilka kluczy DKIM?

Tak. Każda usługa wysyłkowa ma zwykle własny selektor i klucz, więc domena może publikować wiele rekordów DKIM pod różnymi selektorami.

Czy to narzędzie DKIM jest darmowe?

Tak. Jest darmowe, nie wymaga rejestracji, a sprawdzanych domen i selektorów nie przechowujemy.

Sprawdzanie rekordu DKIM