Ispettore record DKIM

Come sfruttare al meglio l'ispettore DKIM

Raccogli il selettore e il dominio From prima di lanciare l'analisi. Lo strumento li trasforma in selector._domainkey.domain e ti permette di scegliere il resolver o l'endpoint DNS-over-HTTPS.

Prepara i campi

Inserisci il selettore esattamente come pubblicato - maiuscole/minuscole contano - e il dominio mittente senza suffisso _domainkey. L'ispettore li assembla in {selector}._domainkey.{domain} prima di emettere la query.

Cambia selettore con sicurezza

Testa ogni selettore durante una rotazione delle chiavi o un'indagine sulla consegna. Alterna tra i resolver disponibili (pubblici, personalizzati o DoH) per verificare che il TXT sia propagato ovunque prima di aggiornare il tuo MTA.

Interpreta le diagnostiche DKIM

Gli errori segnalano TXT mancante, sintassi non valida o disallineamento tra chiave pubblica e policy. Gli avvisi evidenziano parametri più deboli o modalità test. Usa i dettagli di resolver, latenza e DoH per distinguere configurazione da propagazione.

Perché usare questo ispettore DKIM?

Verifica prima dell'invio che la tua chiave pubblica DKIM sia pubblicata correttamente.
Lo strumento risolve selector._domainkey.domain, segue eventuali CNAME, legge il TXT restituito e mette in evidenza errori di sintassi, chiavi troppo corte o revocate e tag inconsistenti. Risparmi tempo ed eviti tentativi falliti in produzione.

DKIM in breve

DKIM firma il messaggio con una chiave privata. Il destinatario verifica la firma con la chiave pubblica pubblicata nel DNS. Questa chiave si trova in un record TXT su selector._domainkey.domain. I tag importanti sono:

v=DKIM1 versione
k= tipo di chiave rsa o ed25519
p= chiave pubblica in Base64
t= flag di test y o restrizione s
n= nota facoltativa
g= granularità storica raramente usata
s= servizi facoltativo

Istruzioni

Inserisci il dominio e il selettore da controllare.
Clicca su Ispeziona record.
Leggi il riepilogo e poi i dettagli. Gli errori bloccano la verifica lato destinatario. Gli avvisi segnalano rischio o pratica da migliorare.
Correggi e poi esegui un altro controllo.

Cosa controlla l'ispettore

Risoluzione DNS

Esistenza di selector._domainkey.domain come TXT.
Catena CNAME seguita fino al TXT finale.
TTL leggibile e dimensione totale della risposta.

Sintassi TXT

Presenza di v=DKIM1.
k= coerente rsa o ed25519.
p= non vuoto e valido in Base64. p= vuoto = chiave revocata.
Tag sconosciuti o duplicati segnalati.
Stringhe frammentate accettate e riassemblate quando la zona divide in segmenti di 255 caratteri.

Chiave pubblica

Per RSA lunghezza minima 1024 rifiutata. Raccomandato 2048. Accettabile 3072. 4096 possibile ma attenzione alla dimensione DNS.
Per ed25519 formato compatto atteso.
Rilevamento di caratteri vietati, spazi vaganti e virgolette errate.
Impronta calcolata per facilitare l'inventario.

Aiuti diagnostici

Presenza di un record DMARC e promemoria dell'allineamento atteso.
Note sull'età della chiave quando TTL e cronologia lo suggeriscono.
Consiglio di rotazione quando sono visibili più selettori attivi.

Errori comuni

Selettore scritto male la chiave non può essere trovata.
p= vuoto chiave revocata per errore.
Chiave RSA 1024 probabile rifiuto da parte delle principali piattaforme.
Caratteri non-Base64 copia-incolla rotta, virgolette tipografiche.
Chiave troppo lunga o TXT mal segmentato superamento di 255 caratteri per frammento.
CNAME verso un nome che non pubblica TXT finale.

Migliori pratiche

Pubblicare almeno due selettori e ruotare regolarmente.
Preferire RSA 2048 o ed25519 a seconda del proprio ecosistema.
Mantenere TXT pulito v k p ed evitare tag esotici non necessari.
Testare la lettura DNS dopo ogni deployment poi inviare messaggio di test e leggere header Authentication-Results.
Documentare selettore data dimensione chiave servizio emittente e persona responsabile.

Risoluzione rapida dei problemi

Firma fallita ma chiave pubblicata verificare selettore usato dal mittente. Il nome del selettore nell'header DKIM-Signature deve corrispondere al TXT.
Firma riuscita ma DMARC fallito rivedere allineamento tra From e dominio DKIM.
Alcuni destinatari ignorano la chiave verificare che ci sia solo un TXT utile sul nome finale.