Найдите ключ DKIM по селектору и посмотрите его тип, настоящую длину и любые проблемы
Runs in your browser. Only the lookup you start is sent to cloudflare-dns.com or dns.google; nothing else leaves your device.Проверка DKIM получает открытый ключ, который домен публикует по адресу selector._domainkey.домен, и читает его. RFC 8301 требует ключи RSA не короче 1024 бит и рекомендует 2048; пустой p= означает, что ключ отозван. Селектор берётся из тега s= подписанного письма.
Эта страница переведена машинным способом с английского оригинала. Перевод ещё не проверен человеком, поэтому ориентируйтесь на английскую версию. Читать английский оригинал
Введите домен в поле «Домен», а селектор — в поле «Селектор (s= в подписи)».
Нажмите «Проверить DKIM», чтобы получить ключ по адресу selector._domainkey.домен.
Посмотрите «Тип ключа» и «Длина ключа», определённые по самому ключу, а над ними — найденные проблемы.
Нажмите «Копировать» рядом с записью ключа, чтобы сохранить её.
Введите домен и селектор, и страница запросит у публичного резолвера DNS-over-HTTPS TXT-запись по адресу из селектора, затем ._domainkey., затем домена. Теги записи читаются так, как их определяет раздел 3.6.1 RFC 6376: версия, тип ключа, разрешённые алгоритмы хеширования, типы сервисов, флаги и сам ключ.
Длина ключа определяется по самому ключу, а не угадывается по длине текста. Base64 из p= декодируется, и вложенная DER-структура читается до модуля RSA, точная длина которого в битах и есть размер ключа. Ключ ed25519, описанный в RFC 8463, всегда имеет 256 бит. Раздел 3.2 RFC 8301 говорит, что получатели должны отклонять ключи RSA короче 1024 бит, а отправителям следует использовать 2048, и вердикт показывает, по какую сторону этих границ находится ключ.
Другие проблемы описаны простыми словами: пустой p=, означающий, что ключ отозван; t=y, отмечающий домен как ещё тестируемый, из-за чего получатели считают его подписанную почту неподписанной; h=, разрешающий только sha1, который RFC 8301 вывел из употребления; и записи, которые вовсе не являются DKIM. Селектор, указывающий в другое место через CNAME, как настраивают многие почтовые сервисы, отслеживается, и цель показывается.
Сложнее всего найти селектор. Это значение s= в заголовке DKIM-Signature письма, отправленного доменом, и только так его можно узнать наверняка. Кнопка "Try common selectors" запрашивает девять имён, которые используют крупные провайдеры и панели хостинга. Совпадение доказывает, что ключ есть; промах ничего не доказывает, потому что селектор может называться как угодно.
Чего она не делает: она не проверяет подпись письма. Для этого нужно само письмо.
Введённые домен и селектор отправляются выбранному вами резолверу, потому что без них запрос невозможен. Больше ничего не покидает ваше устройство.
Откройте письмо, отправленное доменом, посмотрите оригинал или исходный код и найдите заголовок DKIM-Signature. Его тег s= — это селектор, а тег d= — домен. Распространённые селекторы можно угадать, и кнопка здесь пробует девять, но наверняка это скажет только заголовок.
RFC 8301 требует ключи RSA не короче 1024 бит и рекомендует 2048. Получатели должны отклонять ключи короче 1024 бит, поэтому подписи, сделанные ими, не проходят. Ключи длиннее 4096 бит могут проверять не все получатели. Ключ ed25519 имеет 256 бит и обычно публикуется рядом с ключом RSA.
Пустой тег p= означает, что ключ этого селектора намеренно отозван. Почта, подписанная им, теперь не проходит DKIM. Провайдеры публикуют отозванную запись, когда переходят на новый селектор, поэтому старый селектор с пустым p= — это нормально, если текущая почта использует более новый.
Обычно неверен селектор: у каждого сервиса отправки свой селектор, а имя задаётся произвольно. Ключ также может быть ещё не опубликован, или сервис ожидает CNAME-запись, указывающую на его собственный ключ. Сначала проверьте значение s= в заголовке настоящего письма.
Домен и селектор уходят выбранному вами публичному DNS-резолверу, Cloudflare или Google, потому что для запроса записи нужно имя. Резолвер видит запрошенные имена и ваш IP-адрес. Больше ничего не покидает ваше устройство, и ничего о проверке не хранится на этом сайте.
Всё ещё не получается? Задайте вопрос об инструменте «Проверка DKIM» и ответить может любой, кто знает. Учётная запись не нужна.