Введите домен, и сервис найдёт DKIM-записи по популярным селекторам и проверит, что публичный ключ на месте. Если вы знаете свой селектор, укажите его в дополнительном поле: так проверка будет точной.
Проверка выполняется в момент запроса. Учитывайте ограничения источников и подтверждайте критичные выводы — методология 3check.
Публичный ключ публикуется в TXT-записи селектор._domainkey.домен. Значения тегов описаны в RFC 6376.
| v=DKIM1 | Версия записи; должна идти первой, если указана. |
| k=rsa | Тип ключа: rsa (по умолчанию) или ed25519. |
| p= | Публичный ключ в base64. Пустое значение означает отозванный ключ. |
| t=y | Режим тестирования: получатели не должны считать неудачную проверку критичной. |
| t=s | Строгий режим: домен в подписи должен точно совпадать с доменом отправителя. |
| h= | Допустимые алгоритмы хеширования (sha256). |
| s= | Тип сервиса; для почты — email или *. |
Селектор — имя, под которым в DNS лежит публичный ключ подписи: запись находится по адресу селектор._domainkey.домен. У одного домена может быть несколько селекторов, например для разных почтовых сервисов.
Откройте заголовки полученного от вашего домена письма и найдите строку DKIM-Signature: значение s= и есть селектор. Также селектор указывают в настройках почтового сервиса, где подключается подпись.
Возможные причины: запись ещё не обновилась в DNS, вы используете нестандартный селектор, ключ опубликован не в TXT на нужном имени или подпись включена не для этого домена. Укажите селектор вручную и проверьте запись ещё раз.
Получатель не смог подтвердить подпись: ключ в DNS не совпал с подписью, письмо изменили при пересылке или домен подписи отличается от домена отправителя. Загрузите письмо в проверку доставляемости, чтобы увидеть детали.
Рекомендуется RSA-ключ длиной 2048 бит. Ключи 1024 бита ещё встречаются, но считаются слабыми. Запись 2048 бит может не помещаться в одну строку TXT, поэтому её разбивают на части.
Да: SPF проверяет сервер отправки, а DKIM подтверждает целостность письма. Для DMARC достаточно, чтобы прошла хотя бы одна из проверок с совпадающим доменом, но использовать нужно обе.