DKIM 대량 검사: 모든 도메인에 DKIM 키가 게시되어 있나요?

DKIM(RFC 6376)은 각 메시지에 개인 키로 서명하고, 수신 측은 DNS의 <selector>._domainkey.<domain>에서 공개 키를 찾습니다. 셀렉터는 메일에 서명하는 쪽이 정하므로 도메인의 모든 키를 나열할 방법은 없습니다. 검사 도구는 셀렉터를 알거나 추측해야 합니다.

발송 도구에 표시된 셀렉터를 입력하면 각 도메인에서 바로 그 레코드만 읽으며, 이것이 가장 빠르고 확실한 검사입니다. 비워 두면 Google Workspace, Microsoft 365, 대형 발송 플랫폼이 쓰는 google, selector1, selector2, k1, s1, default 등 흔한 셀렉터 22개를 시도합니다. 두 방식 모두 TXT 레코드와 CNAME을 읽는데, 많은 플랫폼이 키를 자체 DNS로 위임하기 때문입니다.

Key found: 2048비트 이상의 RSA 키나 Ed25519 키를 가진 유효한 DKIM 레코드입니다. Weak key: 2048비트보다 짧은 RSA 키로 보통 1024비트이며, 아직 받아들여지지만 현재 권장 수준보다 낮으니 교체하세요. 1024비트 미만의 키는 RFC 8301에 따라 수신 측이 거부하므로 Broken으로 표시됩니다. Testing: 레코드에 t=y가 있어 수신 측에 실패를 서명 없는 메일과 다르게 처리하지 말라고 요청합니다.

Revoked: 키가 빈 값(p=)으로 게시되어 의도적으로 철회된 상태입니다. Broken: 레코드를 DKIM 키로 읽을 수 없습니다. CNAME to nothing: 셀렉터가 플랫폼에 위임되었지만 대상에 키가 없으며, 보통 그쪽 설정을 끝내지 않은 경우입니다. No key found: 시도한 어떤 셀렉터에도 키가 없다는 뜻이며, 도메인에 DKIM이 없다는 증거가 아니라 다른 셀렉터를 쓴다는 뜻일 뿐입니다.

Google Workspace의 기본값은 google이고, Microsoft 365는 selector1과 selector2를 씁니다. 대부분의 플랫폼은 DNS 설정 페이지에 셀렉터를 보여 주며, 보낸 메일에서도 읽을 수 있습니다. DKIM-Signature 헤더의 s= 태그가 셀렉터, d=가 서명 도메인입니다.

한 도메인이 게시한 모든 셀렉터를 약 80개를 시도해 찾으려면 DKIM 셀렉터 찾기 (영어)를, 키 하나를 태그별로 설명받으려면 DKIM 검사 (영어)를 사용하세요.

콜드 메일 팀은 수십 개의 보조 도메인에서 발송하며, 각 도메인은 워밍업 전에 자체 DKIM 키가 필요합니다. Google의 이메일 발신자 가이드라인은 대량 발신자에게 DKIM을 요구하며, 이 단계를 건너뛴 도메인은 아무것도 서명하지 않습니다. 설정한 셀렉터로 대량 검사하면 빠진 곳이 한 번에 드러납니다.

키 교체가 모든 도메인에 반영되었는지, 1024비트 키가 모두 사라졌는지 확인하는 가장 빠른 방법이기도 합니다.