Přejít na obsah

AktuálněKritické chyby v PHP a Node.js z 21. 10. Týkají se i vás?Otestovat verzi

Tegmia
Ověřit

DKIM a proč ho zvenčí nekontrolujeme

Kontroluje Tegmia DKIM?

Krátká odpověď

Nekontroluje a nebudeme tvrdit opak. Veřejný klíč DKIM leží v DNS na adrese <selektor>._domainkey.vasedomena.cz a selektor si volí poštovní systém, který zprávy podepisuje. Zvenčí, bez jediného e-mailu od vás, selektor neznáme. Hádat obvyklá jména a z neúspěchu usoudit „DKIM nemáte“ by znamenalo vyrábět planý poplach, takže pro DKIM nemáme v katalogu žádné pravidlo.

Co to je

DKIM (DomainKeys Identified Mail) je elektronický podpis zprávy. Odesílající server podepíše hlavičky a tělo privátním klíčem, přijímající server si veřejný klíč vyzvedne z DNS a podpis ověří.

Selektor je jméno, které určuje, kde v DNS klíč hledat. Každý poskytovatel pošty si volí vlastní a jedna doména jich může mít několik — jiný pro firemní poštu, jiný pro rozesílku.

Pro DMARC je DKIM důležitější než SPF: přežije přeposlání zprávy, u kterého SPF typicky selže.

Jak to Tegmia měří

Co kontrola skutečně dělá, s prahy, na kterých hlásí nález.

  • Nic. Kontrola DNS hygieny posílá dotazy na TXT záznamy domény, na _dmarc, dále na MX, CAA a NS. Na _domainkey se nedotazuje a žádné jméno selektoru nezkouší.
  • Je to záměr napsaný přímo v kódu kontroly: bez znalosti selektoru by negativní výsledek neměl žádnou výpovědní hodnotu a hádání selektorů vyrábí falešné nálezy.

Co tím nezměříme

  • Nevíme, jestli vaše pošta podepisuje. Když vám tedy někde vyjde „DKIM: v pořádku“, není to od nás.
  • DKIM zatím nemáme ani v plánu kontrol a žádné datum neslibujeme. Změnit by to mohla kontrola, která selektor zná — tedy taková, která čte vaše DMARC reporty nebo je propojená s vaší poštou.

Co v katalogu není a proč

Mezeru je lepší přiznat než zakrýt nálezem, kterému nelze věřit.

V katalogu Tegmie není pro DKIM žádné pravidlo. Není to opomenutí: zvenčí se poctivě změřit nedá a radši mezeru přiznáme, než abychom ji zakryli nálezem, kterému nelze věřit.

Typická chybná konfigurace

Nejčastější nedorozumění není v DNS, ale v tom, co si firma myslí, že má. Podpis DKIM bývá zapnutý pro hlavní firemní poštu, ale ne pro rozesílku, e-shop nebo fakturační systém, které posílají pod stejnou doménou. Pak stačí přepnout DMARC na „reject“ a zmizí přesně ta pošta, na které firmě záleží nejvíc.

Jak to opravit

Konkrétní kroky v pořadí, ve kterém mají smysl.

  1. 01Pošlete e-mail z každého systému, který za vás posílá, na schránku, kam se dostanete.
  2. 02V přijaté zprávě si zobrazte originál (v Gmailu „Show original“, v Outlooku vlastnosti zprávy) a najděte hlavičku Authentication-Results. Hledáte „dkim=pass“.
  3. 03V hlavičce DKIM-Signature přečtěte „d=“ (doména) a „s=“ (selektor). „d=“ musí být vaše doména, ne doména poskytovatele, jinak DMARC zarovnání neprojde.
  4. 04Teď už selektor znáte, takže si klíč ověříte sami: zjistěte TXT záznam na <selektor>._domainkey.vasedomena.cz.
  5. 05Systém, který nepodepisuje, dopodepsat podle návodu jeho poskytovatele — a až potom zpřísňovat DMARC.

Jak to vypadá

Hodnoty tak, jak je zapíšete nebo uvidíte.

Kde klíč v DNS leží

selector1._domainkey.vasedomena.cz   TXT   "v=DKIM1; k=rsa; p=MIGf..."

Jméno selektoru („selector1“) je jen příklad. Ten svůj najdete v hlavičce odeslané zprávy.

Zkontrolovat to na své doméně

Čteme jen to, co doména zveřejnila.

Sken přečte veřejné záznamy a konfiguraci domény a ukáže výsledek téhle kontroly u vás, včetně důkazu, ze kterého jsme vycházeli.

Zkontrolovat doménuCo všechno kontrolujeme

Situace, které to řeší

Související kontroly

Co se k tomu váže a dělá se obvykle spolu.

  • Kontrola SPF záznamu

    Co je SPF záznam, jak ho Tegmia čte, jaká je nejčastější česká chyba v nastavení a jak záznam opravit.

  • Kontrola DMARC záznamu

    Co DMARC dělá, co znamená p=none, quarantine a reject, a jak se k vynucené politice dostat bez ztráty pošty.

Naposledy upraveno 22. října 2026. Stránku píšeme ručně a opravujeme ji, když se změní to, co měříme. Našli jste tu chybu? Napište na kontakt.