Vérificateur DKIM
Record host: selector._domainkey.domain
DNS lookups send the domain (or DKIM/DMARC host name) to this site's DNS API. Format checks for headers run locally in your browser.
Mode d'emploi
- Entrez le domaine de signature (le domaine d= dans DKIM-Signature, généralement aligné sur From:).
- Entrez le sélecteur (balise s= provenant d'un en-tête de message ou de votre panneau DNS, par exemple google, par défaut, s1).
- Cliquez sur Vérifier DKIM pour interroger selector._domainkey.yourdomain pour TXT — la recherche s'exécute uniquement en cliquant sur le bouton.
FAQ
Comment trouver le sélecteur DKIM?
Dans DNS, recherchez les enregistrements TXT sous les sous-domaines *_domainkey*. Dans le courrier, ouvrez les en-têtes bruts et lisez s= dans DKIM-Signature, ou utilisez Email Header Analyzer.
Quel nom DNS DKIM utilise-t-il?
TXT sur {selector}._domainkey.{domain}, par exemple google._domainkey.example.com.
Pourquoi mon sélecteur est-il introuvable?
Mauvais sélecteur, DNS non publié, délai de propagation ou rotation de clé vers un nouveau nom de sélecteur.
Est-ce que cela vérifie les signatures sur le courrier en direct?
Non. Cela confirme que l’enregistrement de clé publique DNS existe et semble bien formé. La vérification de la signature a lieu au niveau du MTA destinataire.
Et si p= est vide?
Une clé publique vide signifie souvent que le domaine a révoqué la signature de ce sélecteur tout en conservant l'enregistrement pendant une période de transition.
Introduction
DKIM (DomainKeys Identified Mail) permet aux destinataires de vérifier que le contenu du message a été signé avec une clé privée dont la moitié publique est publiée dans DNS. Un vérificateur DKIM confirme que le sélecteur et la clé publique appropriés existent avant de rechercherdkim=faildans les journaux de messagerie.
Les recherches s'exécutent à{selector}._domainkey.{domain}uniquement lorsque vous cliquez sur Vérifier DKIM.
Qu'est-ce qu'un enregistrement DNS DKIM?
DKIM publie un enregistrement TXT contenant:
v=DKIM1— versionp=— clé publique base64 (requise pour la signature active)- Facultatif
k=(type de clé, souvent rsa),h=(algorithmes de hachage),t=(drapeaux), etc.
Le sélecteur est une étiquette DNS choisie par le signataire (ESP ou IT). Plusieurs sélecteurs peuvent coexister lors de la rotation des clés (s1,s2,google,default).
Cet outil ne vérifie pas cryptographiquement un message: il valide la publication DNS et la forme de base de l'enregistrement.
Principales fonctionnalités
- Séparez les champs domain et selector (vides par défaut).
- Affiche l'hôte de recherche exact (
selector._domainkey.domain). - Récupération TXT déclenchée par un bouton.
- Rapporte le type de clé, les balises de hachage et la taille estimée de la clé publique.
- Avertissements concernant les
p=manquants, les touches courtes ou les types de clés inhabituels. - Copie d'enregistrement brute pour les tickets de changement.
Cas d'utilisation courants
- Vérification de Google Workspace ou de Microsoft 365 DKIM CNAME/TXT après l'activation.
- Trouver le sélecteur actif après la migration ESP.
- Confirmer qu'une nouvelle clé est active avant de supprimer un ancien sélecteur.
- Vérification croisée de
s=de Email Header Analyzer avec le DNS.
Meilleures pratiques
- Faites pivoter les clés avec un nouveau sélecteur; conservez l’ancien enregistrement jusqu’à ce que les files d’attente soient épuisées.
- Alignez le domaine de signature (
d=) avec vos paramètres d'alignement de domaine From: et DMARC. - Sélecteurs de documents dans les runbooks: il est facile de faire des erreurs de saisie.
- DKIM + SPF +DMARC couvrent ensemble l'authentification et la politique; MX (MX Lookup) est un routage entrant distinct.