Аутентификация почты
Проверка и валидация DKIM-записи
Найдите TXT-запись selector._domainkey для любого домена и проверьте теги DKIM, тип и длину ключа.
Нужна проверка SPF, DMARC и DKIM сразу? Полный аудит email → Email Auth Checker
Что проверяет DKIM валидатор?
- Введите DKIM-селектор (например google, default или k1) и домен. Инструмент запрашивает TXT-запись {selector}._domainkey.{domain} через публичный DNS.
- Запись разбирается по тегам: версия v=DKIM1, тип ключа k=, публичный ключ p=, алгоритмы h=, типы сервисов s= и флаги t=, плюс вычисляется длина ключа.
- Смотрите вердикт и предупреждения: отсутствующая запись, пустой тег p= (отозванный ключ), слабый ключ 1024 бита или флаг t=y — каждая проблема объясняется отдельно.
Теги DKIM, на которые стоит смотреть
Валидатор проверяет DNS-часть DKIM: опубликованную запись с публичным ключом. Он подтверждает существование записи, разбирает каждый тег и помечает слабые или отозванные ключи — но не подписывает и не принимает почту за вас.
| Тег | Почему это важно | Пример |
|---|---|---|
| v=DKIM1 | Тег версии, с которого должна начинаться корректная DKIM-запись | v=DKIM1 |
| k / p | Тип ключа и публичный ключ в Base64 для проверки подписей | k=rsa; p=MIIBIjANBg… |
| Длина ключа | Размер RSA-ключа — 1024 бита сегодня считается слабым | 2048 бит |
| t=y | Тестовый флаг: получатели обрабатывают подписи как будто домен не подписывает почту | t=y |
Когда проверять DKIM-запись
Проверяйте сразу после добавления или изменения DNS-записи почтового провайдера. Google Workspace обычно использует селектор google, Microsoft 365 — selector1 и selector2, Amazon SES выдаёт три случайных CNAME-селектора, Mailchimp — k1 (и k2/k3), SendGrid — чаще всего s1 и s2.
Проверяйте DKIM, когда письма попадают в спам или в DMARC-отчётах видно dkim=fail. Отсутствующая или битая запись — одна из самых частых причин.
При ротации ключей проверяйте оба селектора: провайдеры публикуют новый ключ на втором селекторе до отключения старого, и оба должны резолвиться, пока старые подписи ещё в пути.
Как исправить отсутствующую или некорректную запись
Если запись не найдена, проверьте точное написание селектора и что TXT (или CNAME) опубликован на selector._domainkey.вашдомен.com — частая ошибка: запись на apex-домене или задвоенный домен в поле host.
Если запись найдена, но некорректна, смотрите разбор тегов: отсутствующий v=DKIM1, обрезанное значение p= (DNS-панели часто режут длинные ключи на несколько строк в кавычках) или лишние пробелы ломают проверку.
Пустой тег p= означает, что ключ намеренно отозван. Флаг t=y — домен в тестовом режиме: получатели проверяют подпись, но не применяют её строго; уберите флаг после подтверждения rollout.
Селекторы, ключи и ротация DKIM
DKIM позволяет отправляющему серверу подписывать каждое письмо приватным ключом; получатели берут публичный ключ из DNS по селектору из заголовка DKIM-Signature (тег s=). Селекторы дают домену возможность публиковать несколько ключей одновременно.
Длина ключа важна: RSA 1024 бита ещё принимается, но считается слабым, и большинство провайдеров выдают ключи 2048 бит. Некоторым DNS-панелям нужно разбивать длинную Base64-строку на две части в кавычках.
Ротируйте ключи так: опубликуйте новый ключ под новым селектором, переключите подпись на него и только потом удаляйте или отзывайте старую запись. Проверка каждого селектора отдельно подтверждает каждый шаг.
Порядок проверки почтовой аутентификации
- Проверьте MX и SPF в DNS Checker.
- Провалидируйте каждый DKIM-селектор ваших провайдеров.
- Проверьте TXT-запись _dmarc и её политику.
- Повторите проверку после миграции провайдера или ротации ключей.
DKIM валидатор vs dig и заголовки писем
Запись можно получить через dig TXT selector._domainkey.example.com, но теги и длину ключа придётся разбирать вручную. Валидатор делает это автоматически и объясняет каждую находку.
Заголовки Authentication-Results в полученном письме показывают, прошло ли конкретное сообщение. Валидатор отвечает на более ранний вопрос: опубликована ли сама запись и корректна ли она?
Полные deliverability-сервисы тестируют seed-ящики и репутацию. Этот инструмент закрывает DNS-фундамент, от которого зависит всё остальное — быстро, бесплатно и с доступом через API.
Почему DN01 DKIM Validator
- Поиск по селектору с разбором всех тегов DKIM, типом и длиной ключа — а не просто сырой TXT-вывод.
- Понятные предупреждения об отозванных ключах (пустой p=), тестовом режиме (t=y) и слабых ключах 1024 бита.
- Встроен в общий workflow DN01 рядом с DNS, SPF/TXT и blacklist-проверками, интерфейс на 8 языках.
FAQ
FAQ по DKIM валидатору
Селекторы, DNS TXT-записи, длина ключа и что значат тестовый режим и отзыв ключа.
Что такое DKIM-селектор?
Селектор — это метка из тега s= заголовка DKIM-Signature письма. Получатель объединяет её с доменом и запрашивает TXT-запись selector._domainkey.вашдомен.com, поэтому один домен может публиковать несколько ключей подписи одновременно.
Как узнать свой DKIM-селектор?
Откройте отправленное письмо и посмотрите заголовок DKIM-Signature: тег s= и есть селектор. Частые значения: google у Google Workspace, selector1/selector2 у Microsoft 365, k1 у Mailchimp, s1/s2 у SendGrid. Наличие TXT-записи можно подтвердить в DNS Checker.
Почему моя DKIM-запись некорректна?
Частые причины: отсутствует тег v=DKIM1, значение p= обрезано после неправильного разбиения длинного ключа в DNS-панели, лишние кавычки или пробелы, либо запись опубликована не на том hostname. Валидатор разбирает каждый тег и показывает конкретную проблему.
Что значит t=y в DKIM-записи?
Это тестовый флаг: получатели проверяют подпись, но при ошибке обрабатывают письмо как неподписанное. На этапе внедрения это нормально, но уберите флаг, когда DMARC-отчёты стабильно показывают dkim=pass.
Какой ключ выбрать: 1024 или 2048 бит?
2048 бит. Ключи RSA 1024 бита ещё проверяются, но считаются слабыми, и крупные провайдеры по умолчанию выдают 2048 бит. Если DNS-панель не принимает длинное значение, разбейте Base64-строку на две части в кавычках.
Может ли у домена быть несколько селекторов?
Да, и обычно так и должно быть. Каждый почтовый провайдер подписывает своим селектором, а ротация ключей строится на публикации нового ключа под новым селектором до отзыва старого. Проверяйте каждый селектор отдельно.