Encontre as chaves públicas DKIM que um domínio publica e confira se são fortes o suficiente. Informe o seu seletor, se souber — ou deixe a gente testar mais de 30 seletores usados pelo Google Workspace, Microsoft 365, Mailchimp, SendGrid, Brevo e outras plataformas.
Relatório DKIM de
Todos os seletores testados retornam uma chave vazia (revogada). O domínio provavelmente publica um registro curinga que revoga o DKIM para qualquer seletor — comum em domínios que não enviam e-mail nenhum.
| Seletor | Nome DNS | Tipo de chave | Tamanho da chave | Situação |
|---|
Uma chave revogada tem a tag p= vazia: o seletor foi desativado de propósito, e as assinaturas feitas com ele falham. Isso é normal depois de uma troca de chave.
Registros perfeitos não evitam bounces. Enviar para endereços inválidos, descartáveis ou abandonados prejudica a sua reputação de remetente e pode colocar o seu IP em blacklists. Valide a lista antes da próxima campanha.
O DKIM (DomainKeys Identified Mail, RFC 6376) permite que um domínio assine os e-mails que envia. A sua plataforma de envio adiciona um cabeçalho DKIM-Signature gerado com uma chave privada; a chave pública correspondente fica publicada no DNS, como um registro TXT em selector._domainkey.seudominio.
O servidor que recebe busca essa chave pública e verifica a assinatura. Uma assinatura válida prova que a mensagem não foi alterada no caminho e que o domínio que assinou se responsabiliza por ela. Gmail, Yahoo e Outlook exigem DKIM de quem envia em volume, e o DMARC depende dele.
O seletor é o rótulo que diz ao destinatário qual chave buscar, e por isso um domínio pode ter várias chaves ao mesmo tempo — uma por plataforma de envio, ou uma antiga e uma nova durante a troca de chaves.
O DNS não tem como listar todos os seletores de um domínio, então nenhuma ferramenta consegue descobrir todas as chaves sozinha. O jeito confiável é abrir uma mensagem que você enviou, ver os cabeçalhos originais e achar a linha DKIM-Signature: s= é o seletor e d= é o domínio que assina.
DKIM-Signature: v=1; a=rsa-sha256; d=suaempresa.com.br; s=google; …Os seletores abaixo são os padrões das plataformas mais usadas. Alguns provedores geram um seletor por conta, então quem dá a palavra final é o seu painel de administração.
| Provedor | Seletor(es) |
|---|---|
| Google Workspace | |
| Microsoft 365 | selector1, selector2 |
| Mailchimp | k1 (configurações antigas), k2, k3 |
| Mailchimp Transactional (Mandrill) | mandrill |
| SendGrid | s1, s2 |
| Brevo | brevo1, brevo2 |
| HubSpot | hs1, hs2 (algumas contas acrescentam um sufixo numérico) |
| Proton Mail | protonmail, protonmail2, protonmail3 |
| Fastmail | fm1, fm2, fm3 |
| Amazon SES | Três tokens aleatórios por domínio (Easy DKIM) — copie-os do console do SES |
| Zoho Mail | Você escolhe ao criar a chave no painel de administração do Zoho Mail |
A RFC 8301 exige chaves de pelo menos 1024 bits e recomenda 2048. Chaves com menos de 1024 bits são ignoradas pelos grandes provedores; as de 1024 bits ainda funcionam, mas são consideradas fracas. Se o seu provedor de DNS limita o tamanho do TXT, divida a chave em várias strings entre aspas no mesmo registro.
A RFC 8463 adiciona chaves Ed25519, curtas e modernas, mas muitos destinatários ainda não as verificam. Se usar uma, assine também com uma chave RSA.
Para aposentar um seletor, publique o registro dele com a chave pública vazia (p=). Os destinatários passam a tratar as assinaturas feitas com ele como inválidas, e qualquer pessoa vê que a chave foi aposentada de propósito.
Publique um novo seletor, configure a plataforma para assinar com ele, espere alguns dias pelas mensagens em trânsito e depois revogue o antigo. Muitas equipes trocam a cada 6 a 12 meses.
Sim. Você pode fazer 30 verificações por dia sem conta (compartilhadas com o verificador de SPF, DKIM e DMARC). A ferramenta só lê registros DNS públicos.
Porque só dá para encontrar uma chave DKIM sabendo o seletor, e a sua plataforma pode usar um que não testamos. Abra uma mensagem que você enviou, encontre o valor s= no cabeçalho DKIM-Signature e informe-o. Confirme também que a plataforma assina com o seu próprio domínio (d=seudominio), e não com o dela.
No cabeçalho DKIM-Signature de qualquer mensagem que você enviou: s= é o seletor e d= é o domínio. No Gmail ele aparece em “Mostrar original”; no Outlook, em “View message source” (exibir código-fonte da mensagem). A página de configuração de DNS da sua plataforma de envio também informa.
2048 bits. Chaves de 1024 bits ainda são aceitas, mas consideradas fracas, e chaves com menos de 1024 bits são ignoradas pelo Gmail e por outros grandes provedores.
O registro existe, mas a tag p= está vazia, o que desativa aquele seletor de propósito. É normal para uma chave antiga depois de uma troca. Se a sua plataforma ainda assina com esse seletor, as assinaturas vão falhar.
Sim — uma por seletor. É comum ter uma por plataforma de envio (por exemplo, Google Workspace para o e-mail da equipe e uma ferramenta de e-mail marketing para as campanhas), cada uma com o seu seletor.
Não. Gmail, Yahoo e Outlook também esperam SPF e uma política DMARC, alinhados com o domínio do remetente (From) — e uma lista limpa, porque bounces e denúncias prejudicam a sua reputação, diga o DNS o que disser.
Normalmente minutos, mas os resolvedores podem guardar em cache a resposta anterior por até o TTL dela. Os nossos resultados ficam em cache por 10 minutos, então espere um pouco antes de verificar de novo.
Uma conta grátis traz 200 créditos (10 para e-mails de provedores gratuitos) para validar listas em lote, pela API REST ou em tempo real nos seus formulários.
Criar conta grátis — 200 créditosSem cartão de crédito. Os créditos não expiram.