SPF や DMARC と異なり、DKIM レコードは単一の予測可能な場所に公開されているわけではなく、セレクターの下に存在します。それが DKIM 検索を厄介にしている点であり、このツールが自動化してくれるところです。
DKIM 検索の仕組み
DKIM の公開鍵は、selector._domainkey.yourdomain.com の TXT レコードとして公開されます。検索するには、ドメインとセレクターの2つが必要です。セレクターは、メールに署名するサービスが選ぶラベルなので、1 つのドメインに複数の DKIM レコード（送信サービスごとに1つ）が存在し、それぞれが異なるセレクターの下にあり得ます。
正しいセレクターを見つける
セレクターは、自ドメインから送られた署名済みメッセージの DKIM-Signature ヘッダーに、s= タグとして現れます。送信済みメッセージの生ヘッダーを開けるなら、それが最も確実な見つけ方です。それができない場合は、自動ディスカバリーがプロバイダーがよく使うセレクターをスキャンします。例えば次のとおりです。
- Google Workspace -
google - Microsoft 365 -
selector1とselector2 - SendGrid -
s1とs2 - Mailchimp -
k1
DKIM レコードの読み方
DKIM レコードは次のようになります。
v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GN...
v=DKIM1 タグはこれを識別し、k=rsa は鍵の種類、p= は受信側が署名の検証に使う Base64 エンコードされた公開鍵です。p= が空の場合、その鍵は失効しています。受信側サーバーはこの鍵を取得し、メッセージの署名と照合して、両者が一致し、かつメッセージが転送中に改ざんされていない場合にのみ DKIM を通過させます。
DKIM チェックが確認すること
- 鍵が公開されていること。想定されたセレクターにあり、失効していないこと。
- 鍵が十分に強いこと。2048 ビットが最新の標準で、1024 ビットの鍵は上位にローテーションすべきです。
- レコードが正しい形式であること。検証を壊す余計な文字が含まれていないこと。
DKIM、SPF、DMARC は連携して機能する
DKIM はメッセージが改ざんされていないことを証明し、SPF は送信サーバーが許可されていることを証明し、DMARC はその両方を目に見える From アドレスに結びつけ、適用ポリシーを設定します。DMARC は DKIM のアライメントだけでも通過できるため、有効な DKIM レコードは、特に SPF が壊れがちな転送メールにおいて、認証の強靭な第二の防衛線となります。3 つすべてを健全に保ちましょう。AutoSPF は SPF 側を自動的に維持し、SPF 構文バリデーター は受信側が気づく前にレコードのエラーを捉え、当社の DKIM ガイド が残りをカバーします。