Проверка DKIM-записи домена

Что такое DKIM и что именно проверяется

DKIM добавляет к письму криптографическую подпись. Закрытый ключ хранится на сервере отправителя, открытый публикуется в DNS. Получатель находит открытый ключ по имени селектора, проверяет подпись и понимает, что письмо действительно отправлено с вашего домена и не изменилось в пути.

Чекер проверяет то, что можно проверить снаружи: опубликован ли ключ, читается ли он, какой у него тип и длина, не отозван ли он и не оставлен ли включённым тестовый режим. Саму подпись на конкретном письме проверить со стороны нельзя — для этого нужен текст письма.

Про селекторы

Запись DKIM лежит по адресу вида селектор._domainkey.example.com. Имя селектора выбирает сервис отправки, и единого списка не существует. DNS не позволяет спросить «какие селекторы есть у этого домена» — можно только проверить конкретное имя.

Поэтому отрицательный результат перебора ничего не доказывает. Если вы видите «ни один из известных селекторов не найден», это значит ровно то, что написано: среди проверенных имён записи нет. Точный ответ даст только ваш собственный селектор — возьмите его из тега s= в заголовке DKIM-Signature любого отправленного письма.

Селекторы популярных сервисов

• Google Workspace — google
• Microsoft 365 — selector1 и selector2
• Mailchimp, Klaviyo — k1
• SendGrid, Zoho — s1 и s2
• Postmark — pm
• Яндекс 360 — mail

Как выглядит запись

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...

Тег v необязателен: при его отсутствии подразумевается DKIM1. k задаёт тип ключа, по умолчанию rsa. p — сам открытый ключ в base64. При копировании ключа из панели сервиса следите, чтобы он не разбился переносами строк: это самая частая причина того, что запись есть, а подпись не проходит.