Interrogez une clé DKIM par sélecteur et voyez son type, sa longueur réelle et ses problèmes
Runs in your browser. Only the lookup you start is sent to cloudflare-dns.com or dns.google; nothing else leaves your device.Un vérificateur DKIM récupère la clé publique qu'un domaine publie à selector._domainkey.domaine et la lit. La RFC 8301 exige des clés RSA d'au moins 1024 bits et recommande 2048 ; un p= vide signifie que la clé a été révoquée. Le sélecteur provient de la balise s= d'un message signé.
Cette page a été traduite automatiquement à partir de l'original anglais. Aucune personne n’a encore relu la traduction : c’est la version anglaise qui fait foi. Lire l'original en anglais
Saisissez le domaine dans Domaine et le sélecteur dans Sélecteur (s= dans la signature).
Appuyez sur Vérifier DKIM pour récupérer la clé à selector._domainkey.domaine.
Lisez Type de clé et Longueur de clé, calculés à partir de la clé elle-même, avec les problèmes listés au-dessus.
Appuyez sur Copier à côté de l'enregistrement de clé pour le garder.
Saisissez un domaine et un sélecteur, et la page demande à un résolveur public DNS-over-HTTPS l'enregistrement TXT situé au sélecteur, puis ._domainkey., puis le domaine. Les balises de l'enregistrement sont lues comme la section 3.6.1 de la RFC 6376 les définit : la version, le type de clé, les algorithmes de hachage autorisés, les types de service, les indicateurs et la clé elle-même.
La longueur de la clé est calculée à partir de la clé, pas devinée d'après la longueur du texte. Le base64 de p= est décodé et la structure DER qu'il contient est lue jusqu'au module RSA, dont la longueur exacte en bits est la taille de la clé. Une clé ed25519, définie par la RFC 8463, fait toujours 256 bits. La section 3.2 de la RFC 8301 indique que les destinataires doivent rejeter les clés RSA de moins de 1024 bits et que les expéditeurs devraient utiliser 2048, et le verdict indique de quel côté de ces seuils se situe une clé.
Les autres problèmes sont indiqués en clair : un p= vide, qui signifie que la clé a été révoquée ; t=y, qui marque le domaine comme encore en test, si bien que les destinataires traitent son courrier signé comme non signé ; un h= qui n'autorise que sha1, abandonné par la RFC 8301 ; et des enregistrements qui ne sont pas du DKIM du tout. Un sélecteur qui pointe ailleurs par un CNAME, comme le prévoient de nombreux services de messagerie, est suivi et la cible est affichée.
Trouver le sélecteur est la partie difficile. C'est la valeur s= de l'en-tête DKIM-Signature d'un message envoyé par le domaine, et c'est le seul moyen sûr de le connaître. Le bouton "Try common selectors" interroge neuf noms utilisés par les grands fournisseurs et les panneaux d'hébergement. Un résultat prouve qu'une clé existe ; un échec ne prouve rien, car un sélecteur peut porter n'importe quel nom.
Ce qu'il ne fait pas : il ne vérifie pas la signature d'un message. Il faudrait le message.
Le domaine et le sélecteur que vous saisissez sont envoyés au résolveur que vous choisissez, car une requête en a besoin. Rien d'autre ne quitte votre appareil.
Ouvrez un message envoyé par le domaine, affichez l'original ou la source, et cherchez l'en-tête DKIM-Signature. Sa balise s= est le sélecteur et sa balise d= est le domaine. Les sélecteurs courants peuvent être devinés, et le bouton d'ici en essaie neuf, mais seul l'en-tête le dit avec certitude.
La RFC 8301 exige des clés RSA d'au moins 1024 bits et recommande 2048. Les destinataires doivent rejeter les clés de moins de 1024 bits, donc les signatures faites avec échouent. Les clés de plus de 4096 bits peuvent ne pas être vérifiées par tous les destinataires. Une clé ed25519 fait 256 bits et est généralement publiée à côté d'une clé RSA.
Une balise p= vide signifie que la clé derrière ce sélecteur a été révoquée volontairement. Le courrier signé avec elle échoue désormais à DKIM. Les fournisseurs publient un enregistrement révoqué quand ils passent à un nouveau sélecteur ; un ancien sélecteur avec p= vide est donc normal si le courrier actuel en utilise un plus récent.
En général le sélecteur est faux : chaque service d'envoi utilise son propre sélecteur, et le nom est libre. La clé n'est peut-être pas encore publiée, ou le service attend un enregistrement CNAME pointant vers sa propre clé. Vérifiez d'abord la valeur s= dans l'en-tête d'un vrai message.
Le domaine et le sélecteur partent vers le résolveur DNS public que vous choisissez, Cloudflare ou Google, car interroger un enregistrement nécessite le nom. Le résolveur voit les noms demandés et votre adresse IP. Rien d'autre ne quitte votre appareil, et rien de la vérification n'est conservé sur ce site.
Toujours bloqué ? Poser une question sur Vérificateur DKIM et toute personne qui connaît la réponse peut répondre. Aucun compte nécessaire.