Ключ опубліковано
Шукаємо запис за адресою селектор._domainkey.домен. Якщо ключа там немає, листи з цим підписом перевірку не пройдуть, навіть якщо сервер їх підписує.
Перевірка DKIM-запису домену
DKIM допомагає одержувачу перевірити, що лист підписаний сервером вашого домену й не змінився після надсилання. Знайдемо відкритий ключ у DNS і перевіримо його параметри. Для перевірки підпису конкретного листа потрібен його вихідний текст — цей інструмент його не аналізує.
Перевірте ключ DKIM
Укажіть домен і селектор — ім’я ключа DKIM. Його можна знайти в налаштуваннях пошти або в заголовку DKIM-Signature, після s=. Якщо не знаєте селектор, залиште поле порожнім: перевіримо 29 поширених варіантів.
Що перевіряємо в DKIM
Довжина ключа
Ключ RSA, коротший за 1024 біти, одержувачі не приймають, рекомендована довжина — 2048. Ключі Ed25519 короткі за природою і надійні.
Відкликаний ключ
Запис із порожнім p= — так виводять старий ключ з обігу. Сам по собі це не помилка, якщо поруч є робочий селектор.
Часті запитання про DKIM
Де взяти селектор, який потрібен ключ і як його змінити.
Де взяти селектор DKIM?
Відкрийте будь-який лист, надісланий із домену, і подивіться його заголовки: у поштових програмах це «Показати оригінал» або «Вихідний текст». У заголовку DKIM-Signature селектор стоїть після s=, а домен — після d=. Селектор є і в налаштуваннях поштового сервісу, там само, де ключ DKIM. Plesk зазвичай використовує default, Google Workspace — google, Microsoft 365 — selector1 і selector2: їх ми перевіряємо самі.
Якої довжини потрібен ключ DKIM?
RSA на 2048 біт — те, що зараз рекомендують і приймають усі великі поштові сервіси. 1024 біти ще працюють, але вважаються слабкими; коротші ключі одержувачі не приймають зовсім. Ключ на 4096 біт надійніший, але не вміщується в один рядок TXT, і частина DNS-панелей його ламає. Якщо сервіс пропонує Ed25519, його можна додати другим селектором поруч із RSA.
Як змінити ключ DKIM і не втратити листи?
Через новий селектор. Опублікуйте новий ключ під іншим ім’ям, наприклад 2026 замість default, дочекайтеся, поки запис розійдеться по DNS, і перемкніть підпис на новий селектор у налаштуваннях пошти. Старий ключ тримайте ще тиждень: листи, підписані ним, можуть лежати в чергах. Потім очистьте його значення p= або видаліть запис.
Інші інструменти: Пошта домену
Перевірка налаштувань пошти
MX, SPF, DKIM, DMARC і чорні списки разом, з підсумком у балах.
ВідкритиПеревірка SPF
Перевірка запису SPF: помилки, ліміт DNS-запитів і правила для відправників.
ВідкритиПеревірка DMARC
Чи є запис, яка політика і куди надходять звіти.
ВідкритиПеревірка MX
Поштові сервери домену, їхні адреси, зворотні записи й шифрування.
ВідкритиПеревірка в чорних списках
Перевірка IPv4-адреси або IP-адрес поштових серверів домену в чорних списках.
ВідкритиГенератор SPF
Укажіть відправників пошти — отримайте запис SPF для DNS.
ВідкритиГенератор DMARC
Оберіть правила обробки листів і адресу для звітів DMARC.
ВідкритиПошта на своєму домені — у тарифі хостингу
На нашому хостингу скриньки на вашому домені входять у тариф, а записи для пошти налаштовуються в панелі Plesk.
Записи домену — на надійних DNS
Тримайте MX, SPF, DKIM і DMARC на наших серверах імен: записи правите самі будь-коли, домен може залишатися в будь-якого реєстратора, а пошта — в будь-якого провайдера.