Odczytaj klucz DKIM po selektorze i zobacz jego typ, rzeczywistą długość i problemy
Runs in your browser. Only the lookup you start is sent to cloudflare-dns.com or dns.google; nothing else leaves your device.Sprawdzanie DKIM pobiera klucz publiczny, który domena publikuje pod selector._domainkey.domena, i go odczytuje. RFC 8301 wymaga kluczy RSA o długości co najmniej 1024 bitów i zaleca 2048; puste p= oznacza, że klucz unieważniono. Selektor pochodzi ze znacznika s= podpisanej wiadomości.
Ta strona została przetłumaczona maszynowo z angielskiego oryginału. Tłumaczenie nie zostało jeszcze sprawdzone przez człowieka, dlatego wiążąca jest wersja angielska. Przeczytaj angielski oryginał
Wpisz domenę w polu Domena, a selektor w polu Selektor (s= w podpisie).
Naciśnij Sprawdź DKIM, aby pobrać klucz spod selector._domainkey.domena.
Odczytaj Typ klucza i Długość klucza, ustalone na podstawie samego klucza, z problemami wymienionymi powyżej.
Naciśnij Kopiuj obok rekordu klucza, aby go zachować.
Po wpisaniu domeny i selektora strona pyta publiczny resolver DNS-over-HTTPS o rekord TXT pod selektorem, potem ._domainkey., potem domeną. Znaczniki rekordu są odczytywane tak, jak definiuje je sekcja 3.6.1 RFC 6376: wersja, typ klucza, dozwolone algorytmy skrótu, typy usług, flagi i sam klucz.
Długość klucza jest ustalana z klucza, a nie zgadywana po długości tekstu. Base64 z p= jest dekodowane, a zawarta w nim struktura DER jest czytana aż do modułu RSA, którego dokładna długość w bitach to rozmiar klucza. Klucz ed25519, zdefiniowany w RFC 8463, ma zawsze 256 bitów. Sekcja 3.2 RFC 8301 mówi, że odbiorcy muszą odrzucać klucze RSA krótsze niż 1024 bity, a nadawcy powinni używać 2048, a werdykt mówi, po której stronie tych granic leży klucz.
Inne problemy są opisane prostymi słowami: puste p=, oznaczające unieważnienie klucza; t=y, oznaczające, że domena wciąż testuje, więc odbiorcy traktują jej podpisaną pocztę jak niepodpisaną; h= dopuszczające tylko sha1, wycofane przez RFC 8301; oraz rekordy, które w ogóle nie są DKIM. Selektor wskazujący gdzie indziej przez CNAME, jak konfiguruje to wiele usług pocztowych, jest śledzony, a cel jest pokazywany.
Najtrudniejsze jest znalezienie selektora. To wartość s= w nagłówku DKIM-Signature wiadomości wysłanej przez domenę i tylko tak można go poznać na pewno. Przycisk "Try common selectors" sprawdza dziewięć nazw używanych przez dużych dostawców i panele hostingowe. Trafienie dowodzi, że klucz istnieje; pudło niczego nie dowodzi, bo selektor może mieć dowolną nazwę.
Czego nie robi: nie weryfikuje podpisu wiadomości. Do tego potrzebna jest wiadomość.
Wpisane domena i selektor są wysyłane do wybranego resolvera, bo bez nich zapytanie jest niemożliwe. Nic więcej nie opuszcza urządzenia.
Należy otworzyć wiadomość wysłaną przez domenę, wyświetlić oryginał lub źródło i znaleźć nagłówek DKIM-Signature. Jego znacznik s= to selektor, a znacznik d= to domena. Typowe selektory można zgadnąć, a przycisk tutaj próbuje dziewięciu, ale pewność daje tylko nagłówek.
RFC 8301 wymaga kluczy RSA o długości co najmniej 1024 bitów i zaleca 2048. Odbiorcy muszą odrzucać klucze krótsze niż 1024 bity, więc podpisy nimi wykonane nie przechodzą. Klucze dłuższe niż 4096 bitów mogą nie być weryfikowane przez każdego odbiorcę. Klucz ed25519 ma 256 bitów i zwykle publikuje się go obok klucza RSA.
Pusty znacznik p= oznacza, że klucz tego selektora celowo unieważniono. Poczta nim podpisana nie przechodzi teraz DKIM. Dostawcy publikują unieważniony rekord przy przejściu na nowy selektor, więc stary selektor z pustym p= to nic dziwnego, jeśli bieżąca poczta używa nowszego.
Zwykle selektor jest błędny: każda usługa wysyłkowa ma własny selektor, a nazwa jest dowolna. Klucz mógł też jeszcze nie zostać opublikowany albo usługa oczekuje rekordu CNAME wskazującego jej własny klucz. Najpierw warto sprawdzić wartość s= w nagłówku prawdziwej wiadomości.
Domena i selektor trafiają do wybranego publicznego resolvera DNS, Cloudflare lub Google, bo zapytanie o rekord wymaga nazwy. Resolver widzi zapytane nazwy i adres IP. Nic więcej nie opuszcza urządzenia, a na tej stronie nie jest przechowywane nic o sprawdzeniu.
Nadal coś nie działa? Zapytaj o narzędzie Sprawdzanie DKIM a odpowiedzieć może każdy, kto zna odpowiedź. Konto nie jest potrzebne.