Как выглядит TXT-запись DKIM?

Список тегов через точку с запятой, опубликованный по адресу selector._domainkey.вашдомен, обычно v=DKIM1; k=rsa; p= с последующим открытым ключом в base64.

Что такое селектор DKIM?

Метка, называющая один ключ и образующая первую часть имени записи. Разные селекторы позволяют сменить ключ без перерыва в доставке.

Ключ DKIM на 1024 или 2048 бита?

На 2048 бита. Это практический стандарт уже много лет, и ряд крупных получателей уже считает 1024 бита слабым.

Отправляется ли мой ключ куда-либо?

Нет. Запись собирается в вашем браузере. Тем не менее публикуйте только открытый ключ — закрытый должен оставаться на сервере подписи.

Генератор записи DKIM

Соберите TXT-запись DKIM по селектору и открытому ключу или проверьте уже опубликованную.

Генератор записи DKIM полностью работает в вашем браузере: селекторы, домены и ключи обрабатываются на устройстве и не отправляются.

Открыть генератор записи DMARC

Об инструменте Генератор записи DKIM

DKIM публикует в DNS открытую половину ключа подписи почты под именем, составленным из селектора и домена. Сама запись — короткий список тегов, но детали здесь подводят: значение p= — это тело base64 из PEM-файла без строк-обрамления, ключ на 2048 бит превышает лимит DNS-строки в 255 символов, а забытый тег t=y говорит получателям игнорировать ошибки проверки. Этот инструмент собирает запись, разбивает её так, как требует файл зоны, и разбирает уже опубликованную запись.

Возможности

Составление имени записи из селектора и домена
Приём PEM-блока или чистого base64 с удалением обрамляющих строк
Поддержка ключей RSA и Ed25519 с оценкой длины по самому ключу
Необязательные флаги тестового режима, поддоменов и типа сервиса
Разбивка длинных записей на строки по 255 символов
Режим проверки указывает на пропущенные или неверные теги

Как использовать Генератор записи DKIM

Введите селектор, используемый почтовым сервером, и домен
Вставьте открытый ключ — PEM-блок или только base64
Скопируйте имя хоста и значение записи к своему DNS-провайдеру
Позже используйте режим проверки, чтобы подтвердить публикацию

Пример

Ввод

selector: mail   domain: example.com

Результат

mail._domainkey.example.com  TXT
v=DKIM1; h=sha256; k=rsa; p=MIIBIjANBgkqhkiG9w0B...

Имя всегда выглядит как selector._domainkey.domain — селектор позволяет менять ключи без перерыва в подписи.

Частые ошибки и устранение неполадок

DNS-провайдер отклоняет запись как слишком длинную. — Ключ на 2048 бит превышает 255 символов. Используйте показанную здесь разбитую версию.
Запись опубликована, но подпись всё равно не проходит проверку. — Проверьте, что селектор совпадает с заголовком DKIM-Signature, а в значении p= не осталось переносов строк из PEM.

Часто задаваемые вопросы

Как выглядит TXT-запись DKIM?: Список тегов через точку с запятой, опубликованный по адресу selector._domainkey.вашдомен, обычно v=DKIM1; k=rsa; p= с последующим открытым ключом в base64.
Что такое селектор DKIM?: Метка, называющая один ключ и образующая первую часть имени записи. Разные селекторы позволяют сменить ключ без перерыва в доставке.
Ключ DKIM на 1024 или 2048 бита?: На 2048 бита. Это практический стандарт уже много лет, и ряд крупных получателей уже считает 1024 бита слабым.
Отправляется ли мой ключ куда-либо?: Нет. Запись собирается в вашем браузере. Тем не менее публикуйте только открытый ключ — закрытый должен оставаться на сервере подписи.

Связанные инструменты

Генератор SPF-записи — Постройте и проверьте SPF TXT-запись домена.
Генератор DMARC-записи — Собирает и проверяет DMARC TXT-записи с политикой и отчётами.
Генератор обратного DNS — IP или префикс в PTR, обратную зону и делегирование RFC 2317.
Генератор SSH-ключей — Генерируйте пары SSH-ключей Ed25519, RSA или ECDSA в браузере и скачивайте их.
Декодер сертификатов X.509 — Читает сертификат PEM или DER: субъект, SAN, отпечатки
Сопоставление сертификата и ключа — Проверьте, принадлежат ли сертификат X.509 или CSR и приватный ключ друг другу.