DKIM 一括チェック：すべてのドメインに DKIM 鍵が公開されている？

DKIM（RFC 6376）は各メッセージに秘密鍵で署名し、受信側は DNS の <selector>._domainkey.<domain> で公開鍵を見つけます。セレクターは署名する側が決めるため、ドメインのすべての鍵を一覧することはできません。チェックツールはセレクターを知っているか、推測する必要があります。

送信ツールに表示されるセレクターを入力すれば、各ドメインでそのレコードだけを読みます。これが最も速く確実な確認です。空欄にすると、Google Workspace、Microsoft 365、大手配信プラットフォームが使う google、selector1、selector2、k1、s1、default など一般的な22種を試します。どちらの場合も TXT レコードと CNAME を読みます。多くのプラットフォームが鍵を自社の DNS に委任しているためです。

Key found：2048ビット以上の RSA 鍵または Ed25519 鍵を持つ有効な DKIM レコードです。Weak key：2048ビット未満の RSA 鍵で、多くは1024ビットです。まだ受け入れられますが現在の推奨を下回るので、更新してください。1024ビット未満の鍵は RFC 8301 で受信側が拒否するとされているため Broken と表示します。Testing：レコードに t=y があり、失敗を署名なしメールと区別しないよう受信側に求めています。

Revoked：鍵が空（p=）で公開されており、意図的に取り消されています。Broken：レコードを DKIM 鍵として読めません。CNAME to nothing：セレクターはプラットフォームに委任されていますが、委任先に鍵がありません。多くはそこで設定が完了していないためです。No key found：試したどのセレクターにも鍵がありません。DKIM がないことの証明ではなく、別のセレクターを使っているというだけです。

Google Workspace の既定は google、Microsoft 365 は selector1 と selector2 です。多くのプラットフォームは DNS 設定ページにセレクターを表示しています。送信済みのメールからも読み取れます。DKIM-Signature ヘッダーの s= タグがセレクター、d= が署名ドメインです。

1つのドメインが公開しているセレクターを約80種試してすべて探すには DKIM セレクター検索（英語）を使ってください。1つの鍵をタグごとに説明するには DKIM チェック（英語）を使います。

コールドメールのチームは何十もの補助ドメインから送信し、それぞれウォームアップ前に独自の DKIM 鍵が必要です。Google のメール送信者のガイドラインは大量送信者に DKIM を求めており、この手順を飛ばしたドメインは何も署名しません。設定したセレクターで一括チェックすれば、抜けている箇所が1回でわかります。

鍵のローテーションがすべてのドメインに反映されたか、1024ビットの鍵がなくなったかを確認する最も手早い方法でもあります。