ابحث عن مفتاح DKIM بالمحدِّد واعرف نوعه وطوله الحقيقي وأي مشكلات فيه
Runs in your browser. Only the lookup you start is sent to cloudflare-dns.com or dns.google; nothing else leaves your device.يجلب فاحص DKIM المفتاح العام الذي ينشره النطاق عند selector._domainkey.domain ويقرؤه. يشترط RFC 8301 مفاتيح RSA بطول 1024 بت على الأقل ويوصي بـ 2048؛ وp= الفارغ يعني أن المفتاح أُلغي. ويأتي المحدِّد من الوسم s= في رسالة موقّعة.
تُرجمت هذه الصفحة آليًا من الأصل الإنجليزي. لم يراجع أي شخص هذه الترجمة بعد، لذا فالنسخة الإنجليزية هي التي يُعتمد عليها. اقرأ الأصل الإنجليزي
اكتب النطاق في حقل النطاق والمحدِّد في حقل المحدِّد (s= في التوقيع).
اضغط فحص DKIM لجلب المفتاح عند selector._domainkey.domain.
اقرأ نوع المفتاح وطول المفتاح، المحسوبين من المفتاح نفسه، مع المشكلات المدرجة فوقهما.
اضغط نسخ بجانب سجل المفتاح للاحتفاظ به.
اكتب نطاقًا ومحدِّدًا فتسأل الصفحة محلّل DNS-over-HTTPS عامًا عن سجل TXT عند المحدِّد، ثم ._domainkey.، ثم النطاق. تُقرأ وسوم السجل كما يعرّفها القسم 3.6.1 من RFC 6376: الإصدار، ونوع المفتاح، وخوارزميات التجزئة المسموح بها، وأنواع الخدمات، والأعلام، والمفتاح نفسه.
يُحسب طول المفتاح من المفتاح نفسه، لا يُخمَّن من طول النص. يُفك ترميز base64 في p= وتُقرأ بنية DER التي بداخله حتى معامل RSA، الذي يمثّل طوله الدقيق بالبت حجمَ المفتاح. ومفتاح ed25519، المعرَّف في RFC 8463، طوله دائمًا 256 بت. ينص القسم 3.2 من RFC 8301 على أن يرفض المستقبِلون مفاتيح RSA الأقصر من 1024 بت وأن يستخدم المرسلون 2048، ويذكر الحكم في أي جانب من هذه الحدود يقع المفتاح.
تُذكر المشكلات الأخرى بكلمات واضحة: p= فارغ، يعني أن المفتاح أُلغي؛ وt=y، الذي يَسِم النطاق بأنه ما زال قيد الاختبار، فيعامل المستقبِلون بريده الموقّع كأنه غير موقّع؛ وh= لا يسمح إلا بـ sha1، الذي أوقفه RFC 8301؛ وسجلات ليست DKIM أصلًا. والمحدِّد الذي يشير إلى مكان آخر عبر CNAME، كما تفعل خدمات بريد كثيرة، يُتتبَّع ويُعرض هدفه.
العثور على المحدِّد هو الجزء الصعب. إنه قيمة s= في ترويسة DKIM-Signature لرسالة أرسلها النطاق، وتلك هي الطريقة الوحيدة المؤكدة لمعرفته. يسأل زر "Try common selectors" عن تسعة أسماء يستخدمها كبار المزوّدين ولوحات الاستضافة. التطابق يثبت وجود مفتاح؛ وعدم التطابق لا يثبت شيئًا، لأن المحدِّد قد يحمل أي اسم.
ما لا يفعله: لا يتحقق من توقيع رسالة. فذلك يحتاج إلى الرسالة.
يُرسل النطاق والمحدِّد اللذان تكتبهما إلى المحلّل الذي تختاره، لأن الاستعلام يحتاج إليهما. ولا يغادر جهازك أي شيء آخر.
افتح رسالة أرسلها النطاق، واعرض الأصل أو المصدر الخام، وابحث عن ترويسة DKIM-Signature. الوسم s= فيها هو المحدِّد، والوسم d= هو النطاق. يمكن تخمين المحدِّدات الشائعة، والزر هنا يجرّب تسعة منها، لكن الترويسة وحدها تخبرك بيقين.
يشترط RFC 8301 مفاتيح RSA بطول 1024 بت على الأقل ويوصي بـ 2048. يجب على المستقبِلين رفض المفاتيح الأقصر من 1024 بت، فتفشل التواقيع المصنوعة بها. وقد لا يتحقق كل المستقبِلين من المفاتيح الأطول من 4096 بت. ومفتاح ed25519 طوله 256 بت، ويُنشر عادةً إلى جانب مفتاح RSA.
الوسم p= الفارغ يعني أن المفتاح وراء ذلك المحدِّد أُلغي عمدًا. والبريد الموقّع به يفشل الآن في DKIM. ينشر المزوّدون سجلًا ملغى حين ينتقلون إلى محدِّد جديد، لذا فظهور p= فارغًا في محدِّد قديم أمر طبيعي إن كان البريد الحالي يستخدم محدِّدًا أحدث.
غالبًا يكون المحدِّد خاطئًا: فكل خدمة إرسال تستخدم محدِّدها الخاص، والاسم نص حر. وقد لا يكون المفتاح منشورًا بعد، أو قد تتوقع الخدمة سجل CNAME يشير إلى مفتاحها الخاص. تحقق أولًا من قيمة s= في ترويسة رسالة حقيقية.
يذهب النطاق والمحدِّد إلى محلّل DNS العام الذي تختاره، Cloudflare أو Google، لأن الاستعلام عن سجل يحتاج إلى الاسم. يرى المحلّل الأسماء المطلوبة وعنوان IP الخاص بك. ولا يغادر جهازك أي شيء آخر، ولا يُخزَّن شيء عن الفحص في هذا الموقع.
هل ما زلت عالقًا؟ اسأل عن فاحص DKIM ويمكن لأي شخص يعرف الإجابة أن يجيب. لا حاجة إلى حساب.