Consulte una clave DKIM por selector y vea su tipo, su longitud real y cualquier problema
Runs in your browser. Only the lookup you start is sent to cloudflare-dns.com or dns.google; nothing else leaves your device.Un comprobador de DKIM obtiene la clave pública que un dominio publica en selector._domainkey.dominio y la lee. RFC 8301 exige claves RSA de al menos 1024 bits y recomienda 2048; un p= vacío significa que la clave se revocó. El selector sale de la etiqueta s= de un mensaje firmado.
Esta página se ha traducido automáticamente del original en inglés. Ninguna persona ha revisado todavía la traducción, así que la versión en inglés es la que debe consultar. Leer el original en inglés
Escriba el dominio en Dominio y el selector en Selector (s= en la firma).
Pulse Comprobar DKIM para obtener la clave en selector._domainkey.dominio.
Lea Tipo de clave y Longitud de la clave, calculados a partir de la propia clave, con los problemas listados encima.
Pulse Copiar junto al registro de la clave para guardarlo.
Escriba un dominio y un selector y la página pide a un resolver público de DNS sobre HTTPS el registro TXT en el selector, luego ._domainkey., luego el dominio. Las etiquetas del registro se leen tal como las define la sección 3.6.1 de RFC 6376: la versión, el tipo de clave, los algoritmos de hash permitidos, los tipos de servicio, los indicadores y la propia clave.
La longitud de la clave se calcula a partir de la clave, no se adivina por lo largo del texto. Se decodifica el base64 de p= y se lee la estructura DER que contiene hasta el módulo RSA, cuya longitud exacta en bits es el tamaño de la clave. Una clave ed25519, definida en RFC 8463, siempre tiene 256 bits. La sección 3.2 de RFC 8301 dice que los receptores deben rechazar claves RSA de menos de 1024 bits y que los remitentes deberían usar 2048, y el veredicto indica a qué lado de esos límites queda una clave.
Otros problemas se indican en palabras claras: un p= vacío, que significa que la clave se revocó; t=y, que marca el dominio como aún en pruebas, así que los receptores tratan su correo firmado como no firmado; un h= que solo permite sha1, retirado por RFC 8301; y registros que no son DKIM en absoluto. Un selector que apunta a otro sitio con un CNAME, como organizan muchos servicios de correo, se sigue y se muestra el destino.
Encontrar el selector es lo difícil. Es el valor s= de la cabecera DKIM-Signature de un mensaje que envió el dominio, y es la única forma segura de conocerlo. El botón "Try common selectors" consulta nueve nombres que usan los grandes proveedores y paneles de hosting. Un acierto prueba que existe una clave; un fallo no prueba nada, porque los selectores pueden ser cualquier nombre.
Lo que no hace: no verifica la firma de un mensaje. Para eso hace falta el mensaje.
El dominio y el selector que escribe se envían al resolver que elija, porque una consulta los necesita. Nada más sale de su dispositivo.
Abra un mensaje que haya enviado el dominio, vea el original o el código fuente y busque la cabecera DKIM-Signature. Su etiqueta s= es el selector y su etiqueta d= es el dominio. Los selectores habituales se pueden adivinar, y el botón de aquí prueba nueve, pero solo la cabecera lo dice con seguridad.
RFC 8301 exige claves RSA de al menos 1024 bits y recomienda 2048. Los receptores deben rechazar claves de menos de 1024 bits, así que las firmas hechas con ellas fallan. Puede que no todos los receptores verifiquen claves de más de 4096 bits. Una clave ed25519 tiene 256 bits y suele publicarse junto a una clave RSA.
Una etiqueta p= vacía significa que la clave de ese selector se revocó a propósito. El correo firmado con ella ahora falla DKIM. Los proveedores publican un registro revocado cuando pasan a un selector nuevo, así que un selector antiguo con p= vacío es normal si el correo actual usa uno más reciente.
Normalmente el selector es incorrecto: cada servicio de envío usa su propio selector y el nombre es texto libre. También puede que la clave aún no esté publicada, o que el servicio espere un registro CNAME que apunte a su propia clave. Compruebe primero el valor s= en la cabecera de un mensaje real.
El dominio y el selector van al resolver de DNS público que elija, Cloudflare o Google, porque consultar un registro necesita el nombre. El resolver ve los nombres consultados y su dirección IP. Nada más sale de su dispositivo, y este sitio no guarda nada sobre la comprobación.
¿Sigue sin resolverlo? Pregunte sobre Comprobador de DKIM y cualquiera que lo sepa puede responder. No se necesita cuenta.