Проверка DKIM: посмотрите вашу запись DKIM
DKIM позволяет отправляющему серверу подписывать каждое письмо закрытым ключом, а получатели проверяют подпись по открытому ключу, опубликованному в DNS. Введите свой домен и селектор, который использует ваш почтовый провайдер, чтобы получить этот ключ, а затем посмотрите его размер, формат и возможные причины сбоев подписей.
Как найти селектор DKIM
У домена одновременно может быть много ключей DKIM: для разных сервисов или для ротации ключей, а селектор — это метка, которая указывает, какой использовать. Каждый ключ находится по адресу selector._domainkey.yourdomain.com, поэтому google._domainkey и s1._domainkey могут существовать рядом.
Самый быстрый способ найти свой: отправьте письмо самому себе, откройте полные заголовки и найдите строку DKIM-Signature. Значение s= — это селектор, а d= — домен, который подписал письмо.
Не уверены, как выглядит результат? Кнопки с примерами выше показывают исправный ключ на 2048 бит (yahoo.com с s2048), ключ на 1024 бита, который вызывает предупреждение о слабом ключе (yahoo.com с s1024), и отозванный ключ (gmail.com с 20230601).
Селекторы, которые некоторые провайдеры используют по умолчанию
Они зависят от провайдера и от того, как настроена учётная запись, поэтому считайте их отправной точкой и уточните у своего провайдера.
| Провайдер | Распространённые селекторы |
|---|---|
| Google Workspace | google (и имя на основе даты для новых ключей) |
| Microsoft 365 | selector1 и selector2 |
| SendGrid | s1 и s2 |
| Mailchimp | k1, k2 и k3 |
| Многие панели управления и хостеры | default |
Как читать запись DKIM
| Тег | Значение |
|---|---|
| v=DKIM1 | Версия. Необязательна, но если указана, должна быть DKIM1 |
| k | Тип ключа: rsa (по умолчанию) или ed25519 |
| p | Открытый ключ в base64. Пустое значение означает, что ключ отозван |
| t=y | Тестовый режим: получатели могут снисходительно относиться к сбоям |
| t=s | Строгий режим: домен подписи должен в точности совпадать с доменом From |
| s | Для каких служб можно использовать ключ: email или * |
Размер ключа, разбиение и ротация
- Используйте ключ RSA на 2048 бит. Ключи на 1024 бита по-прежнему проходят проверку, но больше не рекомендуются, а всё, что короче, небезопасно.
- Ключ на 2048 бит длиннее 255 символов, которые умещаются в одной строке DNS, поэтому его публикуют как несколько строк в кавычках внутри одной записи TXT. Большинство панелей DNS делают это за вас. Если же ключ обрезан, прочитать его невозможно.
- Время от времени меняйте ключи. Сначала опубликуйте новый селектор, переключите почтового провайдера на подпись с ним и оставьте старый селектор на месте, пока не будет доставлена почта, уже находящаяся в пути.
- Чтобы вывести ключ из использования, опубликуйте запись с пустым p=, чтобы подписи, созданные им, чётко не проходили проверку, а запись не исчезала.