Начните с конкретного письма и его отправляющей системы
Селектор выбирает открытый ключ для проверки DKIM. Его значение находится в параметре s= заголовка DKIM-Signature, а домен подписи находится в d=. Не угадывайте селектор по названию почтового сервиса: разные потоки, аккаунты и поколения ключей могут использовать разные значения. Одно письмо также может содержать несколько подписей.
Возьмите исходные заголовки контрольного сообщения, отправленного обычным рабочим маршрутом: отдельно из почтового ящика, CRM, рассылки или формы сайта. Запишите время, систему и ожидаемый домен отправителя. Успех проверки одного потока нельзя переносить на остальные, даже если визуально в поле From стоит одинаковый адрес.
Работайте с разрешенным доступом и не публикуйте полные заголовки без обработки. Они могут содержать адреса, идентификаторы и внутреннюю маршрутизацию. Для передачи специалисту обычно нужен технический контекст; содержимое переписки, пароли и закрытые ключи в обычную заявку не прикладывают.
Отдельно подтвердите каждый уровень доказательств
Проверка строится по цепочке наблюдений. У каждого уровня есть собственный предел: опубликованная запись показывает, что получатель может найти ключ, но не подтверждает работу подписывающего сервиса. Скриншот панели также не заменяет результат проверки конкретного сообщения после его доставки.
Сравнивайте данные одного потока и близкого времени. Заголовок старого сообщения и новый ключ после ротации относятся к разным состояниям. Если выводы расходятся, сначала восстановите последовательность изменений, а не создавайте дополнительные записи наугад.
| Наблюдение | Что оно подтверждает | Чего недостаточно для вывода |
|---|---|---|
| d= и s= в DKIM-Signature | Какой домен и ключ указал подписант | Что подпись прошла проверку |
| DNS для s._domainkey.d | Публикацию соответствующего открытого ключа или маршрута к нему | Что сервис действительно подписывает этот поток |
| Включенное подписание у провайдера | Состояние функции в доступной панели | Результат у внешнего получателя |
| Доверенный результат dkim=pass | Успешную проверку конкретной подписи | Согласование с From и прохождение DMARC |
| Совпадение доменов для DMARC | Применимость успешной подписи к DMARC | Доставку во входящие и безопасность содержания |
Как связать селектор с DNS, не перепутать TXT и CNAME
Имя запроса формируется из селектора и домена подписи: s._domainkey.d. Проверяйте именно домен d= из сообщения, а не автоматически домен видимого From. Для прямой публикации ключ обычно представлен TXT; провайдер может требовать CNAME на обслуживаемое им имя. Используйте тип и значение из панели именно вашего домена и аккаунта.
Microsoft 365 и Google Workspace имеют собственные процедуры настройки. Не переносите значения из чужого tenant или примера статьи. В Microsoft нужны выданные для домена значения, а Google отдельно описывает публикацию записи и запуск аутентификации. Объем доступных действий зависит от роли администратора и управления DNS.
Запишите полный запрошенный адрес, тип записи, ответ и время. Учитывайте авторитетную зону и кэш резолвера: разные ответы не всегда означают, что запись исчезла. Изменения ключа согласовывают с владельцами DNS и отправляющей системы, чтобы не затронуть другие рабочие потоки.
Ключ найден: проверьте реальное подписание и результат
После настройки отправьте новое контрольное письмо разрешенным рабочим маршрутом и изучите исходные заголовки на стороне получателя. Сверьте d=, s= и результат проверки. В Google публикация DNS и запуск аутентификации являются отдельными действиями; проверка после включения нужна, даже если запись уже видна.
Authentication-Results имеет смысл только в доверенной части инфраструктуры получателя. Произвольная строка dkim=pass, вставленная в пересланный текст или недоверенный заголовок, доказательством не является. Если определить доверенный результат нельзя, сохраняйте неопределенность и привлеките администратора принимающей системы.
При ошибке сопоставьте ключ и подпись, изменения письма по пути, время ротации и конкретную отправляющую систему. Не отключайте проверку подписи ради зеленого результата. Изменение подписанного содержимого после отправки может объяснить сбой, но само по себе не устанавливает виновника или факт взлома.
DKIM pass и DMARC pass отвечают на разные вопросы
Для DMARC успешная подпись должна также быть согласована с доменом видимого From по применимому режиму. Письмо может иметь корректную подпись сервисного домена, которая не дает согласования для вашего From. При этом для DMARC достаточно успешного согласованного SPF или DKIM; обязательный одновременный успех обоих механизмов утверждать неверно.
Во время ротации проверьте новые сообщения каждого действующего отправителя и согласуйте момент вывода старого ключа из использования. Не удаляйте прежние записи только потому, что новый селектор найден в одном тесте. Нужны подтверждение владельца потока и учет писем, которые еще могут проходить доставку или проверку.
Если результат отличается между прямой доставкой и пересылкой, документируйте оба маршрута. Изменения посредника и особенности обработки требуют отдельного разбора. Один отчет или одно письмо не показывают все способы доставки и не дают основания сразу ужесточать общую политику домена.
Как принять работу и выбрать следующий шаг
Минимальный результат проверки: список отправителей, наблюдаемые d=/s=, подтвержденный DNS, состояние подписания, доверенный результат контрольных сообщений и отдельный вывод по согласованию. Для нерешенных расхождений укажите владельца, следующий тест и безопасный способ отменить изменение.
CyberFixCrew является израильской компанией и помогает русскоязычным бизнесам по всему миру с безопасностью сайтов и цифровой инфраструктуры. Практический израильский подход здесь выражается в проверяемой цепочке от DNS до сообщения, а не в обещании доставляемости. Изменения выполняются только в согласованной области; охват почтовых платформ и доступы уточняются до начала работы.
- Определить все рабочие отправляющие системы и ответственных.
- Сопоставить подпись, DNS и новое сообщение по каждому потоку.
- Разделить техническую проверку DKIM, согласование DMARC и доставляемость.
- Передать таблицу результатов и незакрытые вопросы владельцу домена.
