Verificador DKIM em massa: a chave DKIM está publicada em cada domínio?

O DKIM (RFC 6376) assina cada mensagem com uma chave privada, e os destinatários encontram a chave pública no DNS em <selector>._domainkey.<domain>. O seletor é escolhido por quem assina o e-mail, então não há como listar todas as chaves de um domínio; um verificador precisa saber ou adivinhar o seletor.

Informe o seletor que sua ferramenta de envio mostra e a ferramenta lê exatamente esse registro em cada domínio, a verificação mais rápida e confiável. Em branco, ela testa 22 seletores comuns do Google Workspace, Microsoft 365 e grandes plataformas de envio, como google, selector1, selector2, k1, s1 e default. Os dois modos leem o registro TXT e qualquer CNAME, porque muitas plataformas delegam a chave ao próprio DNS.

Key found: um registro DKIM válido com chave RSA de 2048 bits ou mais, ou uma chave Ed25519. Weak key: uma chave RSA com menos de 2048 bits, geralmente 1024, ainda aceita mas abaixo da recomendação atual, então faça a rotação. Uma chave com menos de 1024 bits aparece como Broken, porque a RFC 8301 diz que os destinatários a rejeitam. Testing: o registro tem t=y, que pede aos destinatários que não tratem falhas de forma diferente de e-mail sem assinatura.

Revoked: a chave está publicada vazia (p=), ou seja, foi retirada de propósito. Broken: o registro não pode ser lido como chave DKIM. CNAME to nothing: o seletor está delegado a uma plataforma, mas o destino não tem chave, geralmente porque a configuração nunca foi concluída lá. No key found: nenhum dos seletores testados tem chave, o que não prova que o domínio não tem DKIM, só que usa outro seletor.

O Google Workspace usa google por padrão, e o Microsoft 365 usa selector1 e selector2. A maioria das plataformas mostra o seu na página de configuração de DNS, e você pode ler em qualquer e-mail enviado: a tag s= do cabeçalho DKIM-Signature é o seletor, e d= é o domínio que assina.

Para encontrar todos os seletores publicados por um único domínio, com cerca de 80 testados, use o localizador de seletores DKIM (em inglês). Para uma chave explicada tag por tag, use o verificador DKIM.

Equipes de cold email enviam de dezenas de domínios secundários, e cada um precisa da própria chave DKIM antes do aquecimento. As diretrizes para remetentes do Google exigem DKIM de remetentes em massa, e um domínio que pulou essa etapa não assina nada. Uma verificação em massa com o seletor que você configurou mostra as falhas numa única rodada.

Também é o jeito mais rápido de confirmar que uma rotação de chaves chegou a todos os domínios, ou que as chaves de 1024 bits sumiram.