使用 2048 位 RSA 密钥
RFC 8301 要求密钥至少 1024 位，并建议使用 2048 位。主要邮件服务商会忽略短于 1024 位的密钥；1024 位密钥仍可使用，但被认为较弱。如果您的 DNS 服务商限制 TXT 长度，可在同一条记录中把密钥拆分为多个带引号的字符串。
免费工具 · 无需注册
免费 DKIM 检测
查找域名发布的 DKIM 公钥，并检查其强度是否足够。如果您知道选择器，请直接输入；否则我们会尝试 Google Workspace、Microsoft 365、Mailchimp、SendGrid、Brevo 等平台使用的 30 多个选择器。
DKIM 报告：
我们尝试的每个选择器都返回空的（已吊销的）密钥。该域名很可能发布了一条通配符记录，对任意选择器都吊销 DKIM —— 这在完全不发邮件的域名中很常见。
| 选择器 | DNS 名称 | 密钥类型 | 密钥长度 | 状态 |
|---|
已吊销的密钥的 p= 标签为空：该选择器被有意停用，用它生成的签名会验证失败。这在密钥轮换后很正常。
DNS 只是送达率的一半 —— 还要清洗邮件列表
创建免费账户 —— 200 积分 完美的 DNS 记录并不能阻止退信。向无效、一次性或已废弃的地址发信会损害发件人信誉，甚至让您的 IP 被列入黑名单。下次发送前，先验证您的列表。
什么是 DKIM？
DKIM（DomainKeys Identified Mail，RFC 6376）让域名可以为其发出的邮件签名。您的发信平台会用私钥生成一个 DKIM-Signature 邮件头；对应的公钥以 TXT 记录的形式发布在 DNS 中，位置为 selector._domainkey.yourdomain。
收件服务器会获取该公钥并验证签名。有效的签名可以证明邮件在传输过程中未被篡改，并且签名域名对其负责。Gmail、Yahoo 和 Outlook 要求批量发件人使用 DKIM，DMARC 也依赖于它。
什么是 DKIM 选择器？如何找到我的选择器？
选择器是告诉收件方应获取哪个密钥的标签，因此一个域名可以同时拥有多个密钥 —— 每个发信平台一个，或在密钥轮换期间新旧密钥并存。
DNS 无法列出一个域名的所有选择器，因此没有任何工具能自行发现所有密钥。可靠的方法是打开一封您发出的邮件，查看其原始邮件头，找到 DKIM-Signature 这一行：s= 是选择器，d= 是签名域名。
DKIM-Signature: v=1; a=rsa-sha256; d=yourcompany.com; s=google; …各服务商常用的 DKIM 选择器
下表是常见平台的默认选择器。有些服务商会为每个账户生成单独的选择器，请以您的管理后台为准。
| 服务商 | 选择器 |
|---|---|
| Google Workspace | |
| Microsoft 365 | selector1, selector2 |
| Mailchimp | k1（旧配置）、k2、k3 |
| Mailchimp Transactional (Mandrill) | mandrill |
| SendGrid | s1, s2 |
| Brevo | brevo1, brevo2 |
| HubSpot | hs1、hs2（部分账户会加上数字后缀） |
| Proton Mail | protonmail, protonmail2, protonmail3 |
| Fastmail | fm1, fm2, fm3 |
| Amazon SES | 每个域名三个随机令牌（Easy DKIM），请从 SES 控制台复制 |
| Zoho Mail | 在 Zoho Mail 管理后台创建密钥时由您自行指定 |
DKIM 密钥长度、类型与轮换
Ed25519 密钥
RFC 8463 引入了更短、更现代的 Ed25519 密钥，但很多收件方尚不支持验证。如果使用，请同时用 RSA 密钥签名。
吊销密钥
要停用某个选择器，请将其记录的公钥留空（p=）后发布。收件方会把用它生成的签名视为无效，而且任何人都能看出该密钥是被有意停用的。
定期轮换密钥
先发布新的选择器，让平台改用它签名，等待几天让传输中的邮件送达，再吊销旧选择器。很多团队每 6 到 12 个月轮换一次。
常见问题
这个 DKIM 检测工具免费吗？
免费。无需账户每天可检测 30 次（与 SPF、DKIM 和 DMARC 检测工具共享额度）。该工具只读取公开的 DNS 记录。
为什么检测工具找不到我的 DKIM 密钥？
因为只有知道选择器才能找到 DKIM 密钥，而您的平台可能使用了我们没有尝试的选择器。打开一封您发出的邮件，在 DKIM-Signature 头中找到 s= 的值并输入。同时请确认平台使用您自己的域名（d=yourdomain）签名，而不是平台自己的域名。
在哪里可以找到我的 DKIM 选择器？
在您发出的任意邮件的 DKIM-Signature 头中：s= 是选择器，d= 是域名。Gmail 中可通过“显示原始邮件”查看，Outlook 中可通过“View message source”（查看邮件源）查看。您的发信平台的 DNS 设置页面也会列出它。
DKIM 密钥应该用 1024 位还是 2048 位？
2048 位。1024 位密钥仍被接受，但被认为较弱；短于 1024 位的密钥会被 Gmail 和其他主要邮件服务商忽略。
DKIM 密钥被吊销是什么意思？
记录存在，但其 p= 标签为空，表示该选择器被有意停用。密钥轮换后旧密钥出现这种情况很正常。如果您的平台仍在用该选择器签名，签名将验证失败。
一个域名可以有多个 DKIM 密钥吗？
可以，每个选择器一个。常见做法是每个发信平台一个（例如员工邮件用 Google Workspace，营销活动用邮件营销工具），各自使用自己的选择器。
只有 DKIM 就能进入收件箱吗？
不能。Gmail、Yahoo 和 Outlook 还要求 SPF 和 DMARC 策略，并与发件人（From）地址中的域名对齐 —— 还需要一份干净的列表，因为无论 DNS 配置如何，退信和投诉都会损害您的信誉。
新的 DKIM 记录多久生效？
通常几分钟，但解析器可能会在 TTL 期限内缓存之前的结果。我们的结果缓存 10 分钟，请稍等片刻再检测。
健康的域名 + 干净的列表 = 进入收件箱
免费账户赠送 200 积分（免费邮箱服务商地址为 10 积分），可通过批量上传、REST API 或表单实时验证来验证邮件列表。
创建免费账户 —— 200 积分无需信用卡，积分永不过期。