DKIMレコードチェック

自分宛てにメールを送信し、届いたメールのヘッダーを開きます。DKIM-Signatureヘッダーがあれば、そのメールは署名されています。セレクタはs=の値、ドメインはd=の値です。このヘッダーがなければ、送信に使用したサービスは署名していません。各送信サービスは独自のセレクタで署名するため、ニュースレターとメールボックスから送信したメールでは異なるセレクタが使われることがあります。

通常は、署名後にメッセージが変更されています。たとえば、メーリングリストによってフッターが追加された場合や、セキュリティゲートウェイによってリンクが書き換えられた場合です。キーで確認できるのは、署名された内容だけです。フルテストでは、メッセージの実際の検証結果を確認できます。

詳細ガイド: DKIM fail

1024ビット鍵はどこでも検証でき、RFC 8301でも認められています。ただし最低限の鍵長なので、次回の鍵ローテーション時に2048ビットへ移行してください。

はい。セレクタごとに1つ設定でき、多くのドメインでは複数使用されています。たとえば、メールボックスプロバイダー用に1つ、ニュースレターや請求サービスごとに1つです。1件ずつ確認してください。DNSから削除された鍵で署名されたメールは、すべて検証に失敗します。

M3AAWGは、少なくとも6か月ごとのローテーションを推奨しています。秘密鍵が漏えいした可能性がある場合は、直ちに実施してください。新しいセレクタで新しい鍵を公開し、その鍵へ署名を切り替えます。古い鍵で署名されたメールが届かなくなってから、古いレコードを削除してください。送信側は4〜5日間再送を試みるため、約1週間待ってください。