Consulte uma chave DKIM pelo seletor e veja o tipo, o tamanho real da chave e qualquer problema
Runs in your browser. Only the lookup you start is sent to cloudflare-dns.com or dns.google; nothing else leaves your device.Um verificador de DKIM busca a chave pública que um domínio publica em selector._domainkey.dominio e a lê. A RFC 8301 exige chaves RSA de pelo menos 1024 bits e recomenda 2048; um p= vazio significa que a chave foi revogada. O seletor vem da tag s= de uma mensagem assinada.
Esta página foi traduzida automaticamente do original em inglês. Nenhuma pessoa revisou ainda a tradução; a versão em inglês é a que deve ser considerada. Ler o original em inglês
Digite o domínio em Domínio e o seletor em Seletor (s= na assinatura).
Toque em Verificar DKIM para buscar a chave em selector._domainkey.dominio.
Leia Tipo de chave e Tamanho da chave, calculados a partir da própria chave, com os problemas listados acima.
Toque em Copiar ao lado do registro da chave para guardá-lo.
Digite um domínio e um seletor e a página pede a um resolvedor público de DNS sobre HTTPS o registro TXT no seletor, depois ._domainkey., depois o domínio. As tags do registro são lidas como a seção 3.6.1 da RFC 6376 as define: a versão, o tipo de chave, os algoritmos de hash permitidos, os tipos de serviço, as flags e a própria chave.
O tamanho da chave é calculado a partir da chave, não adivinhado pelo comprimento do texto. O base64 de p= é decodificado e a estrutura DER dentro dele é lida até o módulo RSA, cujo comprimento exato em bits é o tamanho da chave. Uma chave ed25519, definida na RFC 8463, tem sempre 256 bits. A seção 3.2 da RFC 8301 diz que os receptores devem rejeitar chaves RSA abaixo de 1024 bits e que os remetentes deveriam usar 2048, e o resultado diz de que lado desses limites a chave fica.
Outros problemas aparecem em palavras simples: um p= vazio, que significa que a chave foi revogada; t=y, que marca o domínio como ainda em teste, então os receptores tratam o e-mail assinado dele como não assinado; um h= que só permite sha1, aposentado pela RFC 8301; e registros que nem são DKIM. Um seletor que aponta para outro lugar com um CNAME, como muitos serviços de e-mail configuram, é seguido e o destino é mostrado.
Achar o seletor é a parte difícil. É o valor s= do cabeçalho DKIM-Signature de uma mensagem enviada pelo domínio, e essa é a única forma certa de saber. O botão "Try common selectors" consulta nove nomes que grandes provedores e painéis de hospedagem usam. Um acerto prova que existe uma chave; um erro não prova nada, porque seletores podem ter qualquer nome.
O que ele não faz: não verifica a assinatura de uma mensagem. Para isso é preciso a mensagem.
O domínio e o seletor que você digita são enviados ao resolvedor que você escolher, porque a consulta precisa deles. Nada mais sai do seu dispositivo.
Abra uma mensagem que o domínio enviou, veja o original ou o código-fonte e procure o cabeçalho DKIM-Signature. A tag s= é o seletor e a tag d= é o domínio. Seletores comuns podem ser adivinhados, e o botão aqui testa nove, mas só o cabeçalho diz com certeza.
A RFC 8301 exige chaves RSA de pelo menos 1024 bits e recomenda 2048. Os receptores devem rejeitar chaves abaixo de 1024 bits, então as assinaturas feitas com elas falham. Chaves acima de 4096 bits podem não ser verificadas por todos os receptores. Uma chave ed25519 tem 256 bits e costuma ser publicada junto com uma chave RSA.
Uma tag p= vazia significa que a chave daquele seletor foi revogada de propósito. O e-mail assinado com ela agora falha no DKIM. Os provedores publicam um registro revogado quando trocam para um seletor novo, então um seletor antigo com p= vazio é normal se o e-mail atual usa um mais novo.
Geralmente o seletor está errado: cada serviço de envio usa o próprio seletor, e o nome é livre. A chave também pode ainda não ter sido publicada, ou o serviço pode esperar um registro CNAME apontando para a própria chave. Confira primeiro o valor s= no cabeçalho de uma mensagem real.
O domínio e o seletor vão para o resolvedor de DNS público que você escolher, Cloudflare ou Google, porque consultar um registro precisa do nome. O resolvedor vê os nomes consultados e o seu endereço IP. Nada mais sai do seu dispositivo, e nada sobre a verificação fica guardado neste site.
Ainda com dúvidas? Pergunte sobre Verificador de DKIM e qualquer pessoa que saiba pode responder. Não é preciso ter conta.