Pular para o conteúdo
EmailSecurity — página inicial

EmailSecurity Tools

Validador de DKIM online

Consulte a chave pública DKIM de um domínio por selector, confira o algoritmo e identifique problemas na publicação do registro.

Sem selector, testamos os nomes usados pelos provedores mais comuns. Com o selector correto, a verificação é definitiva — ele aparece no campo s= do cabeçalho DKIM-Signature de qualquer mensagem enviada pelo domínio.

O que este validador verifica

O DKIM assina cada mensagem enviada com uma chave privada que fica no seu servidor. Quem recebe busca a chave pública correspondente no DNS do seu domínio e confere a assinatura. Se bater, é prova de que a mensagem saiu mesmo de quem diz ter saído e de que não foi alterada no caminho.

Aqui nós buscamos o registro, decodificamos a chave pública de verdade com o OpenSSL e informamos o algoritmo e o número real de bits. Uma chave quebrada na publicação — o caso mais comum, quando o painel de DNS corta ou insere espaços no valor — aparece como inválida aqui, que é justamente o problema que ninguém percebe até as mensagens começarem a cair no spam.

Perguntas frequentes

Abra uma mensagem enviada pelo seu domínio, veja o código-fonte (no Gmail: "Mostrar original") e procure a linha DKIM-Signature. Dentro dela existe um trecho s= — o que vem depois é o selector. É o único jeito confiável: o DNS não permite listar os selectors de um domínio.

Porque ela testa apenas nomes de selector usados pelos provedores mais comuns. Quem gera a própria chave costuma escolher um nome próprio, que nenhuma lista adivinha. Não encontrar aqui não significa que o domínio não assina com DKIM.

Use 2048 bits. Chaves de 1024 ainda são aceitas pela maioria dos provedores, mas já são consideradas fracas. Abaixo de 1024 a chave é recusada. Uma limitação prática: algumas interfaces de DNS antigas não aceitam o valor longo de uma chave de 2048 bits em um único campo TXT — nesse caso o provedor precisa dividir o registro em pedaços.

É a forma prevista na RFC de revogar um selector. Nenhuma mensagem assinada com ele será validada. Se você não fez isso de propósito, a chave pública precisa ser republicada.

Sim, e é comum: cada serviço que envia em seu nome costuma usar o próprio selector. Isso também permite trocar chaves sem interrupção — publica-se a nova em um selector novo, passa-se a assinar com ela e só depois a antiga é removida.