Trova le chiavi pubbliche DKIM pubblicate da un dominio e verifica che siano abbastanza robuste. Inserisci il tuo selettore, se lo conosci — oppure lascia che proviamo oltre 30 selettori usati da Google Workspace, Microsoft 365, Mailchimp, SendGrid, Brevo e altre piattaforme.
Report DKIM per
Ogni selettore che abbiamo provato restituisce una chiave vuota (revocata). Molto probabilmente il dominio pubblica un record jolly che revoca DKIM per qualsiasi selettore — tipico dei domini che non inviano alcuna email.
| Selettore | Nome DNS | Tipo di chiave | Lunghezza chiave | Stato |
|---|
Una chiave revocata ha il tag p= vuoto: il selettore è stato disattivato di proposito e le firme create con esso non vengono validate. È normale dopo una rotazione delle chiavi.
Record perfetti non fermano i bounce. Inviare a indirizzi non validi, usa e getta o abbandonati danneggia la tua reputazione di mittente e può far finire il tuo IP in blacklist. Valida la lista prima della prossima campagna.
→ Verifica un singolo indirizzo con il validatore email gratuito
DKIM (DomainKeys Identified Mail, RFC 6376) consente a un dominio di firmare le email che invia. La tua piattaforma di invio aggiunge un’intestazione DKIM-Signature creata con una chiave privata; la chiave pubblica corrispondente è pubblicata nel DNS, come record TXT in selector._domainkey.tuodominio.
Il server che riceve recupera quella chiave pubblica e verifica la firma. Una firma valida dimostra che il messaggio non è stato alterato durante il percorso e che il dominio firmatario se ne assume la responsabilità. Gmail, Yahoo e Outlook richiedono DKIM ai mittenti massivi, e DMARC si basa su di esso.
Il selettore è l’etichetta che indica al destinatario quale chiave recuperare: per questo un dominio può avere più chiavi contemporaneamente — una per piattaforma di invio, oppure una vecchia e una nuova durante una rotazione.
Il DNS non permette di elencare tutti i selettori di un dominio, quindi nessuno strumento può scoprire da solo tutte le chiavi. Il metodo affidabile è aprire un messaggio che hai inviato, visualizzarne le intestazioni originali e cercare la riga DKIM-Signature: s= è il selettore e d= il dominio firmatario.
DKIM-Signature: v=1; a=rsa-sha256; d=tuaazienda.it; s=google; …I selettori qui sotto sono quelli predefiniti delle piattaforme più diffuse. Alcuni provider generano un selettore per ogni account, quindi l’ultima parola spetta alla tua console di amministrazione.
| Provider | Selettore/i |
|---|---|
| Google Workspace | |
| Microsoft 365 | selector1, selector2 |
| Mailchimp | k1 (configurazioni meno recenti), k2, k3 |
| Mailchimp Transactional (Mandrill) | mandrill |
| SendGrid | s1, s2 |
| Brevo | brevo1, brevo2 |
| HubSpot | hs1, hs2 (alcuni account aggiungono un suffisso numerico) |
| Proton Mail | protonmail, protonmail2, protonmail3 |
| Fastmail | fm1, fm2, fm3 |
| Amazon SES | Tre token casuali per dominio (Easy DKIM) — copiali dalla console SES |
| Zoho Mail | Lo scegli tu quando crei la chiave nella console di amministrazione di Zoho Mail |
L’RFC 8301 richiede chiavi di almeno 1024 bit e raccomanda 2048. Le chiavi sotto i 1024 bit vengono ignorate dai grandi provider; quelle da 1024 bit funzionano ancora, ma sono considerate deboli. Se il tuo provider DNS limita la lunghezza dei TXT, dividi la chiave in più stringhe tra virgolette nello stesso record.
L’RFC 8463 introduce chiavi Ed25519, corte e moderne, ma molti destinatari non le verificano ancora. Se ne usi una, firma anche con una chiave RSA.
Per ritirare un selettore, pubblica il suo record con la chiave pubblica vuota (p=). I destinatari considereranno non valide le firme create con esso, e chiunque potrà vedere che la chiave è stata ritirata di proposito.
Pubblica un nuovo selettore, imposta la piattaforma per firmare con esso, attendi qualche giorno per i messaggi ancora in transito e poi revoca quello vecchio. Molti team ruotano ogni 6–12 mesi.
Sì. Puoi eseguire 30 controlli al giorno senza account (condivisi con la verifica SPF, DKIM e DMARC). Lo strumento legge solo record DNS pubblici.
Perché le chiavi DKIM si trovano solo conoscendo il selettore, e la tua piattaforma potrebbe usarne uno che non proviamo. Apri un messaggio che hai inviato, cerca il valore s= nella sua intestazione DKIM-Signature e inseriscilo. Verifica anche che la piattaforma firmi con il tuo dominio (d=tuodominio) e non con il proprio.
Nell’intestazione DKIM-Signature di qualsiasi messaggio che hai inviato: s= è il selettore, d= il dominio. Gmail la mostra in “Mostra originale”, Outlook in “View message source” (visualizza origine messaggio). Anche la pagina di configurazione DNS della tua piattaforma di invio lo indica.
Da 2048 bit. Le chiavi da 1024 bit sono ancora accettate ma considerate deboli, e quelle sotto i 1024 bit vengono ignorate da Gmail e dagli altri grandi provider.
Il record esiste, ma il suo tag p= è vuoto: quel selettore è stato disattivato di proposito. È normale per una vecchia chiave dopo una rotazione. Se la tua piattaforma firma ancora con quel selettore, le firme non verranno validate.
Sì — una per selettore. È comune averne una per piattaforma di invio (ad esempio Google Workspace per la posta del team e uno strumento di email marketing per le campagne), ciascuna con il proprio selettore.
No. Gmail, Yahoo e Outlook si aspettano anche SPF e una policy DMARC, allineati con il dominio del tuo indirizzo From — e una lista pulita, perché bounce e segnalazioni danneggiano la tua reputazione qualunque cosa dica il tuo DNS.
Di solito pochi minuti, ma i resolver possono tenere in cache la risposta precedente fino alla scadenza del suo TTL. I nostri risultati restano in cache 10 minuti, quindi attendi un po’ prima di ricontrollare.
Un account gratuito include 200 crediti (10 per gli indirizzi di provider gratuiti) per validare liste in blocco, tramite API REST o in tempo reale nei tuoi moduli.
Crea un account gratuito — 200 creditiNessuna carta di credito. I crediti non scadono mai.