Vérificateur de sélecteurs et d’enregistrements DKIM
Vérifiez un sélecteur et un domaine fournis pour un enregistrement DKIM DNS utilisable.
Vos données
Vos résultats
À votre dispositionVos résultats s’afficheront ici.
Comment ça marche
Construisez selector._domainkey.domain, inspectez un enregistrement à clé publique DKIM collé, ou demandez son enregistrement TXT. La balise de version est optionnelle; quand elle est présente, elle doit être la première et exactement DKIM1. Le type de clé par défaut est RSA. Une valeur p vide signifie une clé révoquée. Sources: https://datatracker.ietf.org/doc/html/rfc6376, https://www.rfc-editor.org/rfc/rfc8463.html et https://knowledge.workspace.google.com/admin/security/set-up-dkim.
Quelques points à connaître
Vérification de la marque commune et de la base64, pas un validateur RFC complet ou un service de vérification cryptographique. La structure RSA ASN.1, la résistance au module et les signatures de message ne sont pas vérifiées. Aucune découverte de sélecteur ou DNS ne change. Live lookup utilise l'assistant DNS public de Google partagé avec un délai de six secondes ; le mode collé ne fait aucune requête. Les échecs du DNS ne sont pas concluants. Les domaines internationaux doivent être inscrits en code puny.
Quand utiliser cet outil
Un sélecteur DKIM identifie la clé publique DNS associée à un domaine de signature de message. Ce vérificateur construit le nom d'hôte de recherche et inspecte soit un enregistrement collé ou des valeurs TXT en direct. Il vérifie les balises communes et l'encodage de clé publique, y compris la longueur d'octet Ed25519 attendue. Utilisez-le pour revoir les instructions DNS d'un fournisseur ou diagnostiquer une recherche exacte de sélecteur; il ne vérifie pas de façon cryptographique une signature de courriel ou ne découvre pas chaque sélecteur sur un domaine.
- Vérifiez la valeur DKIM TXT fournie par un fournisseur avant de l'ajouter à DNS.
- Recherchez le sélecteur et le domaine de signature dans un message original.
- Identifier une valeur de clé publique vide ou une balise de base et une base64 erreurs.
Comment utiliser le sélecteur dkim et le vérificateur d'enregistrement
Trouvez le domaine et le sélecteur
Utilisez d= depuis un en-tête DKIM-Signature pour le domaine Envoi et s= pour le sélecteur, ou utilisez les instructions de configuration de votre fournisseur. Entrez des noms d'hôte plutôt qu'une adresse e-mail ou une URL du site.
Choisir le mode d'inspection
Coller une valeur TXT pour un contrôle local, ou sélectionner la recherche DNS en direct. Les morceaux DNS cités appartenant à une valeur sont joints. Le mode Live envoie le nom d'hôte du sélecteur construit à Google Public DNS.
Interprétation des diagnostics
Consultez l'hôte DNS complet, l'état de la clé, les octets décodés et les avertissements d'étiquettes. Corriger les erreurs de base avec votre fournisseur, puis vérifier les vrais messages signés en utilisant un workflow d'authentification approprié. Cet outil ne publie ni ne tourne les clés.
Inspecter une clé de démonstration Ed25519
Entrées
Utilisez le mode pâte, example.com, sélecteur brisbane et la valeur de démonstration fournie v=DKIM1; k=ed25519; p=...
Résultat
Le nom d'hôte est brisbane._domainkey.example.com. Vérifications de base et décodage des données à clé publique à 32 octets, déclarées comme étant actuelles; valeur de 32 octets Ed25519.
Ce que ça veut dire
La valeur correspond à la balise prise en charge et aux vérifications d'encodage. Il ne prouve pas que example.com le publie ou qu'un message a été signé correctement. La valeur intégrée démontre l'inspection plutôt que de mettre en place votre propre paire de clés privées/publiques.
Erreurs courantes à éviter
Utiliser le domaine visible De manière automatique
Un domaine DKIM d= peut différer de son domaine From. Utilisez le domaine de signature et le sélecteur de la signature pertinente lors de l'étude de cette clé.
Confier des morceaux TXT avec des enregistrements séparés
Une valeur longue peut être affichée comme des morceaux cités dans un enregistrement TXT. Plusieurs enregistrements de clés indépendants au même sélecteur sont une condition différente et un diagnostic de déclenchement.
Traitement du nombre d'octets décodés comme force RSA
Ce vérificateur n'analyse pas la structure ou la longueur du module RSA ASN.1. Le nombre d'octets décodés n'est pas une déclaration sur la force de sécurité d'une clé RSA.
Foire aux questions
Définitions, cas de bordure et prochaines étapes pratiques pour cet outil. Rechercher tous les outils FAQ
Qu'est-ce qu'un sélecteur DKIM?
C'est l'étiquette utilisée avec le domaine de signature pour localiser une clé, produisant selector._domainkey.domain. Il permet à un expéditeur d'utiliser des clés distinctes ou de les faire pivoter. Obtenez-le à partir du message s= valeur de signature ou de votre fournisseur, parce que cet outil ne découvre pas les sélecteurs.
Comment choisir le domaine d'envoi ?
Pour une recherche de message, utilisez la valeur DKIM-Signature d= associée au sélecteur que vous vérifiez. Pour la configuration, utilisez le domaine de signature indiqué par le fournisseur. Ne saisissez pas d'adresse URL, de chemin ou de courriel; les domaines internationalisés devraient utiliser le code puny ici.
Est-ce que les contrôles de base passés vérifient la signature?
C'est pas vrai. Il vérifie les enregistrements pris en charge les balises communes et l'encodage de base64. Il ne reconstruit pas le contenu du message signé, ne vérifie pas sa signature ou ne prouve pas la propriété du domaine. Un véritable flux de travail de vérification des messages est nécessaire pour déterminer si une signature DKIM particulière passe.
Que signifie une étiquette p vide ?
Une valeur p vide marque une clé révoquée. L'outil rend compte de la révocation et explique qu'il ne peut valider de nouvelles signatures. Ne le remplacez pas par une clé d'échantillon arbitraire; consultez la procédure de rotation ou de récupération du fournisseur d'envoi pour la clé courante correcte.
Les dossiers RSA et Ed25519 sont-ils pris en charge?
Les deux sont reconnus. RSA est la valeur par défaut lorsque k est omis, mais la structure et la résistance du module ASN.1 ne sont pas vérifiées. Les données à clé publique Ed25519 sont vérifiées pour une valeur décodée de 32 octets. La validité du codage ne permet pas de vérifier une signature réelle pour l'un ou l'autre type.
Puis-je coller un enregistrement divisé en chaînes citées ?
Oui. Les morceaux DNS TXT cités sont réunis en une seule valeur, et l'espace blanc à l'intérieur des données à clé publique est accepté. Coller la valeur complète sans en-têtes PEM. Distinguer un panneau de contrôle , l'affichage du morceau à partir d'enregistrements TXT séparés est retourné pour le même sélecteur.
Pourquoi la recherche en direct ne rend pas d'enregistrement ?
Vérifiez l'orthographe du sélecteur, le domaine de signature, la publication DNS et les instructions du fournisseur. L'outil demande uniquement le nom exact de l'hôte. Il n'essaie pas d'alterner les sélecteurs ou de décider quel sélecteur votre service de messagerie devrait utiliser; un échec de recherche n'est pas une preuve que tout DKIM sur le domaine est absent.
Trouver une boîte de réception de garantie clé DKIM?
C'est pas vrai. L'enregistrement de la clé n'est qu'une partie de l'authentification des messages. La configuration de la signature, l'intégrité du contenu, l'alignement et les décisions du récepteur restent séparés. Les données en direct peuvent également être mises en cache, et les défaillances du réseau ne sont pas concluantes. Utilisez des preuves de message réel lors du diagnostic du comportement d'envoi.
Explorez le sujet dans le blog
Sources et méthode
Utilisez les références ci-dessous pour vérifier les définitions et le guide de la plateforme. La portée et les limites du modèle sont expliquées ci-dessus. Lisez nos normes éditoriales.