DKIM Selector Finder

O problema: verificar DKIM sem conhecer o seletor

As ferramentas DKIM tradicionais pedem um domínio e um seletor. Mas a maioria dos utilizadores não conhece o seu seletor DKIM. Resultado: não conseguem verificar a sua configuração.

O DKIM Selector Finder resolve esse problema. Introduza um domínio, e a ferramenta sonda o DNS para fazer aparecer os seletores DKIM ativos entre os nomes conhecidos, sem que precise introduzir nenhum.

Como funciona a descoberta?

1. Deteção dos fornecedores via os MX

A ferramenta consulta os registos MX do seu domínio para identificar os seus fornecedores de email, depois testa prioritariamente os seus seletores conhecidos:

• *.google.com → Google Workspace → seletor google
• *.outlook.com → Microsoft 365 → seletores selector1, selector2
• *.mcsv.net → Mailchimp → seletores k1, k2, k3

2. Sondagem do catálogo de nomes conhecidos

A ferramenta testa em paralelo os nomes de seletor conhecidos consultando:

seletor._domainkey.seu-dominio

Para cada nome, uma consulta DNS TXT é enviada. Se um registo DKIM responder, ele é analisado. A sondagem cobre sempre o catálogo completo de nomes conhecidos (genéricos e específicos de fornecedor, perto de uma centena no total): a deteção dos fornecedores via os MX apenas reordena a prioridade interna, não muda o número de nomes sondados. A sondagem não garante encontrar um seletor personalizado, pois a descoberta nunca é exaustiva (veja mais abaixo).

3. Análise de cada seletor encontrado

Cada seletor encontrado é analisado com o mesmo motor do nosso DKIM Checker:

• Tipo de chave: RSA ou Ed25519
• Comprimento da chave em bits, descodificado a partir da chave pública
• Validade do registo
• Alertas de segurança (chave fraca, chave revogada, modo de teste, formato inválido)
• Deteção CNAME (delegação ao fornecedor)

Porque «nenhum seletor encontrado» não prova nada

Esse é o ponto mais importante a entender. O DNS não autoriza a enumeração dos seletores de uma zona: não existe wildcard em *._domainkey, nem registo central dos seletores (RFC 6376). O valor de um seletor é escolhido livremente pelo operador do domínio signatário, portanto imprevisível.

Na prática, esta ferramenta só pode testar uma lista de nomes conhecidos. Um resultado vazio significa apenas que nenhum desses nomes responde, nunca que o domínio não tem DKIM. Um seletor personalizado (campanha-2024-q3), um token aleatório (Amazon SES) ou um identificador gerado dinamicamente (hash, UUID) escapam por construção ao catálogo.

Quando o catálogo não encontra nada, o método fiável consiste em ler o seletor diretamente num email recebido (veja a secção dedicada mais abaixo). É a única forma de obter o seletor real sem adivinhá-lo.

Quando usar esta ferramenta?

Seletores DKIM dos principais fornecedores

Esses valores são comuns ou observados, não garantias: um fornecedor pode mudar de convenção, permitir um seletor personalizado, ou publicar a sua chave via um token CNAME aleatório. Nenhuma entrada abaixo é «o» seletor oficial garantido de um fornecedor.

Esta tabela cobre os fornecedores mais comuns. A ferramenta sonda, no total, cerca de uma centena de nomes de seletor, sem garantia de exaustividade.

Porque selector1 e selector2 (a rotação das chaves)

Muitos domínios expõem dois seletores (selector1/selector2 na Microsoft, s1/s2 no SendGrid, brevo1/brevo2 na Brevo). Isso não é uma duplicata: é o mecanismo de rotação das chaves.

Num dado momento, um seletor carrega a chave ativa (a que assina os emails enviados); o outro carrega uma chave de reserva, já publicada no DNS. Para efetuar a rotação da chave sem interrupção, o operador alterna a assinatura para a chave de reserva, já propagada, depois substitui a antiga. Nenhum email fica sem assinatura válida durante a transição.

O M3AAWG recomenda uma rotação anual ou semestral (frequência observada, não uma regra universal nem «obrigatória»); uma chave curta ou antiga justifica uma rotação mais frequente. Se a descoberta trouxer apenas um seletor, a rotação sem corte é impossível: prever um segundo seletor é uma boa prática de higiene.

Encontrar o seletor real a partir de um email recebido

Este é o método mais fiável, sem nenhum falso negativo: o seletor está inscrito no cabeçalho DKIM-Signature que o servidor remetente adiciona a cada mensagem assinada. Abra um email recebido do domínio e procure a tag s=:

DKIM-Signature: v=1; a=rsa-sha256; d=exemplo.com; s=selector1; ...

Aqui, o seletor é selector1 e o domínio signatário (d=) é exemplo.com: a chave fica então em selector1._domainkey.exemplo.com.

Onde exibir o cabeçalho bruto conforme o webmail:

• Gmail: abra a mensagem, menu ⋮ (três pontos) no canto superior direito, depois Mostrar original. Procure a linha DKIM-Signature e leia s=.
• Outlook / Microsoft 365: abra a mensagem, Ficheiro → Propriedades (cliente desktop) ou menu ⋯ → Exibir → Exibir origem da mensagem (web). Localize DKIM-Signature.
• Apple Mail: menu Visualizar → Email → Todos os cabeçalhos.

Com o seletor em mãos, cole-o no DKIM Checker para inspecionar a chave em profundidade.

Método manual: dig / nslookup

Se conhece (ou suspeita de) um seletor, pode consultar o DNS diretamente, sem esta ferramenta:

dig TXT seletor._domainkey.exemplo.com +short

No Windows, o equivalente é:

nslookup -type=TXT seletor._domainkey.exemplo.com

Uma resposta contendo v=DKIM1; ...; p=... confirma que o seletor existe e expõe a chave pública. Uma ausência de resposta significa apenas que esse nome específico não resolve, não que o domínio é desprovido de DKIM.

Limites da descoberta por catálogo

O DNS não permite listar os subdomínios de uma zona (não há enumeração wildcard em *._domainkey). A descoberta baseia-se num catálogo de seletores conhecidos.

O que será encontrado:

• Seletores comuns dos fornecedores do catálogo
• Seletores genéricos (default, dkim, mail, s1, selector1, etc.)
• Seletores numéricos comuns (dkim1, dkim2, k1, k2)

O que não será encontrado:

• Seletores personalizados ou aleatórios (ex. campanha-2024-q3)
• Seletores gerados dinamicamente (hash, UUID, tokens Amazon SES)
• Seletores publicados num subdomínio de envio ou de bounce (ex. bounce.seudominio.com, mail.seudominio.com). Para esses, relance a descoberta no subdomínio em questão, ou leia o d= e o s= no cabeçalho de um email enviado por esse fluxo.

Para esses casos, o caminho seguro continua a ser o cabeçalho DKIM-Signature de um email recebido (veja acima).

Armadilhas por trás de um registo «não encontrado»

Um seletor conhecido pode existir sem responder corretamente. Antes de concluir pela ausência de DKIM, verifique estas causas frequentes:

• CNAME ainda não propagado: muitos fornecedores (Microsoft 365, SendGrid, Brevo, Amazon SES) publicam a chave via um CNAME que aponta para a sua infraestrutura. Enquanto a delegação não estiver propagada, ou se ela foi removida, a resolução falha.
• Chave revogada: um registo presente mas com um valor p= vazio significa que a chave foi revogada (RFC 6376). O seletor existe, mas a chave está morta. Isso é normal durante uma rotação, suspeito se persistir.
• Registo dividido ou truncado: uma chave de 2048 bits ultrapassa o limite de 255 octetos de uma cadeia TXT e deve ser dividida em vários segmentos concatenados. Uma divisão incorreta torna a chave inválida.
• Seletor noutro domínio: a tag d= da assinatura pode apontar para um subdomínio ou um domínio de envio distinto. A chave não está então sob o seu apex.

Entender a força da chave de um seletor

Encontrar o seletor é apenas metade do trabalho: ainda é preciso que a chave seja sólida. Para cada seletor descoberto, a ferramenta descodifica a chave pública e deduz o tipo e o comprimento.

As chaves RSA muito curtas são outra história: 512 bits fatora-se em algumas horas e 768 bits foi quebrado publicamente já em 2009 (Red Sift). Aí falamos de chaves quebradas, que nunca devem ser confundidas com a de 1024 bits, simplesmente fraca e a substituir.

O Ed25519 produz uma chave fixa de 256 bits, criptograficamente forte, mas a sua interoperabilidade é limitada: segundo os testes da Red Sift, Gmail, Microsoft 365 e Yahoo não validam (ou rejeitam) as assinaturas Ed25519. Na prática, publique Ed25519 em paralelo a uma chave RSA 2048, nunca sozinho.

A ferramenta sinaliza também dois estados a vigiar: uma chave revogada (p= vazio) deixada no DNS, e um seletor em modo de teste (t=y) muitas vezes esquecido após a entrada em produção, que faz a mensagem ser tratada como não assinada.

Qual ferramenta para quê?

A descoberta de seletores é a primeira etapa quando não conhece o termo «seletor» nem o valor a introduzir. Ela dá-lhe a lista dos seletores ativos. Para ir além:

1. Não conhece nenhum seletor → comece aqui, pela descoberta. A ferramenta monta o inventário dos seletores e fornecedores ativos.
2. Tem um seletor preciso a inspecionar → passe para o DKIM Checker para analisar a sua chave, a sua validade e a sua configuração em detalhe.
3. Tem um email à mão → o Analisador de cabeçalhos de email extrai diretamente o s= e o d= da assinatura, sem adivinhar.
4. Prepara uma nova chave → o Gerador DKIM cria um par RSA ou Ed25519 pronto para publicar.

FAQ - Perguntas frequentes

P: O que é um seletor DKIM?

R: Um seletor DKIM é um identificador que permite localizar a chave pública DKIM no DNS. Ele é publicado no endereço seletor._domainkey.seudominio.com. Cada fornecedor de email utiliza o seu próprio seletor, o que permite ter várias assinaturas DKIM ativas simultaneamente.

P: Como encontrar os meus seletores DKIM sem enviar um email?

R: Esta ferramenta sonda o DNS: ela testa um catálogo de nomes de seletor conhecidos diretamente na sua zona, sem enviar nenhum email. Ela deteta primeiro os seus fornecedores via os MX para priorizar os seletores corretos. Se nada aparecer, o caminho mais fiável continua a ser ler a tag s= no cabeçalho DKIM-Signature de um email que recebeu desse domínio.

P: Quais são os seletores DKIM predefinidos dos principais fornecedores?

R: Google Workspace utiliza google. Microsoft 365 utiliza selector1 e selector2. SendGrid utiliza s1 e s2. Mailchimp utiliza k1, k2 e k3. Brevo utiliza brevo1 e brevo2. O Amazon SES Easy DKIM publica tokens aleatórios em CNAME (sem seletor fixo). São valores comuns, não garantias. Consulte a tabela de fornecedores acima.

P: É possível verificar DKIM sem conhecer o seletor?

R: Sim, é exatamente isso que esta ferramenta faz. Diferentemente dos DKIM checkers clássicos que exigem um seletor, ela testa automaticamente os nomes conhecidos no DNS, sabendo que um seletor personalizado pode escapar dessa lista.

P: O que significa «seletor DKIM não encontrado»?

R: Nenhum registo TXT responde para os nomes testados. Isso não prova a ausência de DKIM: o DNS não permite enumerar os seletores de uma zona (RFC 6376), a ferramenta testa apenas uma lista de nomes conhecidos. Causas possíveis: seletor personalizado em falta no catálogo, CNAME ainda não propagado, chave revogada (p= vazio), ou DKIM realmente não configurado. Para tirar a dúvida, leia o cabeçalho DKIM-Signature de um email recebido.

P: A ferramenta consegue encontrar todos os seletores DKIM?

R: Não, e nenhuma ferramenta consegue. Os seletores personalizados ou gerados dinamicamente (hash, UUID, tokens aleatórios) não serão detetados. Nesses casos, leia o cabeçalho DKIM-Signature de um email recebido (tag s=) ou consulte diretamente o seletor com dig TXT seletor._domainkey.seudominio.com.

Ferramentas complementares

Recursos úteis

• RFC 6376 - DKIM Signatures (especificação oficial)
• RFC 8463 - Ed25519 para DKIM (assinaturas Ed25519)
• Google - Configurar DKIM (guia Google Workspace)
• Microsoft - DKIM no Exchange Online (guia Microsoft 365)