Verifica DKIM in blocco: la chiave DKIM è pubblicata su ogni dominio?

Il DKIM (RFC 6376) firma ogni messaggio con una chiave privata, e i destinatari trovano la chiave pubblica nel DNS in <selector>._domainkey.<domain>. Il selettore lo sceglie chi firma la posta, quindi non c'è modo di elencare tutte le chiavi di un dominio; un verificatore deve conoscere o indovinare il selettore.

Inserisci il selettore mostrato dal tuo strumento di invio e lo strumento legge esattamente quel record su ogni dominio, il controllo più rapido e affidabile. Se lo lasci vuoto, prova 22 selettori comuni usati da Google Workspace, Microsoft 365 e grandi piattaforme di invio, come google, selector1, selector2, k1, s1 e default. In entrambi i casi legge il record TXT e qualsiasi CNAME, perché molte piattaforme delegano la chiave al proprio DNS.

Key found: un record DKIM valido con una chiave RSA da 2048 bit o più, o una chiave Ed25519. Weak key: una chiave RSA sotto i 2048 bit, di solito 1024, ancora accettata ma sotto la raccomandazione attuale, quindi da ruotare. Una chiave sotto i 1024 bit appare come Broken, perché la RFC 8301 dice che i destinatari la rifiutano. Testing: il record ha t=y, che chiede ai destinatari di non trattare gli errori diversamente dalla posta non firmata.

Revoked: la chiave è pubblicata vuota (p=), cioè ritirata di proposito. Broken: il record non può essere letto come chiave DKIM. CNAME to nothing: il selettore è delegato a una piattaforma, ma la destinazione non ha una chiave, di solito perché la configurazione non è mai stata completata lì. No key found: nessuno dei selettori provati ha una chiave, il che non dimostra che il dominio non abbia DKIM, solo che usa un altro selettore.

Google Workspace usa google di default, e Microsoft 365 usa selector1 e selector2. Quasi tutte le piattaforme mostrano il loro nella pagina di configurazione DNS, e puoi leggerlo in qualsiasi email inviata: il tag s= nell'intestazione DKIM-Signature è il selettore, e d= è il dominio che firma.

Per trovare tutti i selettori pubblicati da un singolo dominio, con circa 80 tentativi, usa il cercatore di selettori DKIM (in inglese). Per una chiave spiegata tag per tag, usa la verifica DKIM (in inglese).

I team di cold email inviano da decine di domini secondari, e ognuno ha bisogno della propria chiave DKIM prima del warm-up. Le linee guida per i mittenti di Google richiedono il DKIM ai mittenti in blocco, e un dominio che ha saltato il passaggio non firma nulla. Una verifica in blocco con il selettore che hai configurato mostra le lacune in un'unica esecuzione.

È anche il modo più rapido per confermare che una rotazione delle chiavi ha raggiunto ogni dominio, o che le chiavi da 1024 bit sono sparite.