批量 DKIM 检查：每个域名都发布了 DKIM 密钥吗？

DKIM（RFC 6376）用私钥为每封邮件签名，收件方在 DNS 的 <selector>._domainkey.<domain> 处找到公钥。选择器由签名方自行决定，因此无法列出一个域名的全部密钥；检查工具必须知道或猜测选择器。

输入发信工具显示的选择器，本工具就会在每个域名上读取这一条记录，这是最快、最可靠的检查。留空时，它会尝试 Google Workspace、Microsoft 365 和大型发信平台常用的 22 个选择器，如 google、selector1、selector2、k1、s1 和 default。两种方式都会读取 TXT 记录和任何 CNAME，因为很多平台会把密钥委托到自己的 DNS。

Key found：有效的 DKIM 记录，RSA 密钥不少于 2048 位，或是 Ed25519 密钥。Weak key：短于 2048 位的 RSA 密钥，通常为 1024 位，仍被接受但低于当前建议，应当更换。短于 1024 位的密钥显示为 Broken，因为 RFC 8301 规定收件方会拒绝它。Testing：记录中有 t=y，要求收件方不要把验证失败与未签名邮件区别对待。

Revoked：密钥以空值发布（p=），表示已被有意撤销。Broken：记录无法解析为 DKIM 密钥。CNAME to nothing：选择器委托给了某个平台，但目标没有密钥，通常是那边的设置一直没有完成。No key found：尝试的选择器都没有密钥，这并不能证明域名没有 DKIM，只说明它使用了别的选择器。

Google Workspace 默认使用 google，Microsoft 365 使用 selector1 和 selector2。大多数平台会在 DNS 设置页面显示自己的选择器，你也可以从任何已发出的邮件中读到：DKIM-Signature 邮件头中的 s= 标签就是选择器，d= 是签名域名。

要找出单个域名发布的所有选择器（约尝试 80 个），请使用 DKIM 选择器查找（英文）。要逐个标签解释一个密钥，请使用 DKIM 检查（英文）。

冷邮件团队会用几十个辅助域名发信，每个域名在预热前都需要自己的 DKIM 密钥。Google 的邮件发件人指南要求批量发件人使用 DKIM，而漏掉这一步的域名根本不会签名。用你设置的选择器做一次批量检查，就能一次看出缺口。

这也是确认密钥轮换已覆盖所有域名、或 1024 位密钥已全部淘汰的最快方法。