Sprawdzanie i walidacja rekordu DKIM

Uruchom sprawdzenie zaraz po dodaniu lub zmianie rekordu DNS dostawcy poczty. Google Workspace zwykle używa selektora google, Microsoft 365 — selector1 i selector2, Amazon SES wydaje trzy losowe selektory CNAME, Mailchimp używa k1 (oraz k2/k3), a SendGrid najczęściej s1 i s2.

Sprawdzaj DKIM, gdy wiadomości lądują w spamie lub raporty DMARC pokazują dkim=fail. Brakujący lub uszkodzony rekord to jedna z najczęstszych przyczyn.

Podczas rotacji kluczy weryfikuj oba selektory: dostawcy publikują nowy klucz na drugim selektorze, zanim wycofają stary, i oba muszą się rozwiązywać, dopóki stare podpisy są jeszcze w drodze.

Jeśli rekordu nie znaleziono, sprawdź dokładną pisownię selektora oraz to, że rekord TXT (lub CNAME) znajduje się pod selector._domainkey.twojadomena.com — częsty błąd to publikacja na apexie albo zdublowana domena w polu host.

Jeśli rekord istnieje, ale jest niepoprawny, przejrzyj przeanalizowane tagi: brak v=DKIM1, ucięta wartość p= (panele DNS często dzielą długie klucze na kilka łańcuchów w cudzysłowach) lub zbędne spacje psują weryfikację.

Pusty tag p= oznacza celowe unieważnienie klucza. Flaga t=y to tryb testowy: odbiorcy weryfikują podpis, ale nie egzekwują go rygorystycznie — usuń flagę po potwierdzeniu wdrożenia.

DKIM pozwala serwerowi wysyłającemu podpisywać każdą wiadomość kluczem prywatnym; odbiorcy pobierają klucz publiczny z DNS na podstawie selektora z nagłówka DKIM-Signature (tag s=). Selektory pozwalają domenie publikować wiele kluczy jednocześnie.

Długość klucza ma znaczenie: klucze RSA 1024-bitowe są jeszcze akceptowane, ale uznawane za słabe, a większość dostawców wydaje już klucze 2048-bitowe. Niektóre panele DNS wymagają podzielenia długiego łańcucha Base64 na dwa fragmenty w cudzysłowach.

Rotuj klucze, publikując nowy klucz pod nowym selektorem, przełączając na niego podpisywanie i dopiero potem usuwając lub unieważniając stary rekord. Sprawdzenie każdego selektora z osobna potwierdza każdy krok.

Rekord można odpytać przez dig TXT selector._domainkey.example.com, ale tagi i długość klucza trzeba analizować samodzielnie. Walidator robi to automatycznie i wyjaśnia każde znalezisko.

Nagłówki Authentication-Results w odebranej wiadomości pokazują, czy konkretna wiadomość przeszła weryfikację. Walidator odpowiada na wcześniejsze pytanie: czy opublikowany rekord w ogóle istnieje i jest poprawny?

Pełne pakiety deliverability testują skrzynki seed i reputację. To narzędzie pokrywa fundament DNS, od którego zależy cała reszta — szybko, za darmo i z automatyzacją przez API.