¿Qué es DKIM?
DKIM (DomainKeys Identified Mail) es una firma que el servidor de envío agrega a cada mensaje con una clave privada. La clave pública correspondiente se publica como registro TXT de DNS en selector._domainkey.yourdomain, y los receptores la usan para confirmar que los encabezados firmados y el cuerpo no cambiaron en el camino. Lo define el RFC 6376.
Cómo leer el resultado
El DNS no permite listar los selectores que usa un dominio, así que esta herramienta prueba los 21 con los que firman los proveedores comunes y reporta cada clave que encuentra: su tipo, su longitud en bits y si fue revocada. Menos de 1024 bits se marca como crítico y menos de 2048 como advertencia. Un selector personalizado no aparecerá aquí.
Beat funciona con el mismo motor, de forma programada, en las 41 verificaciones y las 25 blacklists. Lo que agrega: volver a preguntar, notar cuando una respuesta cambia y decirte qué hacer al respecto.
Problemas comunes de las claves DKIM
Ninguna clave en los selectores comunes
O el dominio no firma, o firma con un selector personalizado. La etiqueta s= del encabezado DKIM-Signature de un mensaje que hayas enviado indica el real.
Una clave de menos de 2048 bits
El RFC 8301 exige al menos 1024 bits y recomienda 2048. Una clave de 1024 bits todavía se verifica, y es la más débil de las dos. Rótala a 2048 cuando tu proveedor lo permita.
Una clave revocada
Una etiqueta p= vacía significa que la clave se retiró a propósito. Cualquier mensaje que todavía se firme con ese selector falla DKIM.
Una clave que no se puede leer
Las claves largas suelen pegarse con comillas, espacios o saltos de línea de más, o un panel de DNS las divide mal. Una clave que no se puede leer falla igual que una que no existe.