本文へスキップ
Emailens
ログイン

DKIMチェッカー：DKIMレコードの確認

よく使われる17個のセレクター、または入力したセレクターでDKIMの公開鍵を検索し、見つかった各鍵の種類、RSAの鍵長、読み取れない鍵や失効した鍵かどうかを読み取ります。

@emailens/engine 0.17.2 · データの最終更新：2026年10月27日

セレクターは、送信したメールのDKIM-Signatureヘッダーにあるs=の値です。空欄のままにすると、よく使われるセレクターを試します。

例：example.comは架空のドメインで、サンプルのDKIMレコードを使っています。上の欄でご利用のドメインを確認してください。

合格example.com

強度の高いDKIMレコード（2,048ビットRSA）が、セレクターgoogleで有効です。

DKIM署名により、受信サーバーは、メッセージが本当にexample.comによって作成され、送信中に改ざんされていないことを検証できます。

見つかったセレクター（1個）

  • google強い2,048ビットRSA

    2,048ビット以上のRSA、またはEd25519です。

    TXT google._domainkey.example.com

    v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAp06XivNW4/uBMImlwO8kNJns/rLvkhd1NMoC/ZZnaRbjQQ3XChlqA+7WBh5TRbvRiDGZymDednBHFiLIAP58P+A5htd0AXfXmkKdjMDgWM2rBHg799htYWyISrOf4o5Ev4Qnp0qgTNlDbnDI7sGrwEmgwyDuQnTAziJadfIAKRki+AeAo3OFTK+TmLPMKygfF8M45TcAu8yq9E13nyu0z1nUzy/E5SGXVYg9uqN2xXXDAG9FJK/ht2Y2k2qNyg8lc9IAjibHlhxaVTQZK8f7pWkYqW9uRnF81RHztwbazwodvQbRaxIvrsN6NNBzo11XzxXfm/9IZUT3cv4ur1LSFQIDAQAB

試したセレクター（17個）
  • google（検出）
  • selector1
  • selector2
  • default
  • dkim
  • k1
  • k2
  • k3
  • mail
  • s1
  • s2
  • mandrill
  • pm
  • protonmail
  • smtp
  • resend
  • cf2024-1

各名前を、selector._domainkey.example.comのTXTレコードとして検索します。v=DKIM1またはp=タグを含むレコードがあれば、検出とみなします。

チェッカーを使うにはパソコンの画面が必要です。

各チェックで読み取る内容

検索
よく使われる17個のセレクター名と入力したセレクターについて、ドメインのselector._domainkeyにあるTXTレコードを検索します。v=DKIM1またはp=タグを含むレコードがあれば、検出とみなします。
鍵
k=タグ（Ed25519、それ以外はRSA）を読み取ります。RSAの場合は、文字列の長さから推測するのではなく、p=の鍵から実際のモジュラス長を読み取ります。
強度
2,048ビット以上またはEd25519は「強い」、1,024〜2,047ビットは「旧式」（ただし受け入れられます）、1,024ビット未満は「短すぎる」、読み取れる鍵ではないp=は「読み取り不可」、空のp=は失効した鍵です。
判定
失効した鍵は失敗です。それ以外の場合は、見つかった中で最も問題のある鍵が、そのセレクター名とともに警告になります。何も見つからない場合は、失敗ではなく警告です。ご利用のセレクターがリストにない可能性があるためです。

公開された鍵は半分にすぎません。実際のメッセージの署名が合格したかを確認するには、そのヘッダーをメールヘッダーアナライザー（英語）に貼り付けてください。続いてSPFとDMARCをチェックしてください。

次に確認すること

すべてのメールでこのチェックを実行

無料アカウントなら、レコードを毎日再チェックし（監視ドメイン1件）、変更があればメールでお知らせします。ドメインを毎日無料で監視

SPF、DKIM、DMARCの監視（Dev）。Devは月額¥1,480（税込）です。開発者1人向けで、1日100回のチェック、APIキー、テスト用の受信トレイが含まれます。プランを見る →

よくある質問

DKIMチェッカーでは何を確認しますか？

このチェッカーは、ドメインがDNSで公開しているDKIMの公開鍵を、selector._domainkey.yourdomainで、よく使われる17個のセレクターと入力したセレクターについて検索します。見つかった各鍵について、種類（RSAまたはEd25519）を読み取り、RSAの鍵長を測定し、短すぎる鍵、読み取れない鍵、失効した鍵を検出します。確認するのは公開された鍵で、実際のメッセージの署名ではありません。

DKIMのセレクターとは何ですか？自分のセレクターはどうやって調べますか？

セレクターは、送信サービスが鍵を公開する際の名前です。これにより、1つのドメインで複数のサービスの鍵を保持できます。送信したメールを開いて元のヘッダーを表示し、DKIM-Signatureヘッダーを探してください。s=がセレクター、d=が鍵のあるドメインです。レコードはs._domainkey.dにあります。

チェッカーでDKIMレコードが見つからないのはなぜですか？

DNSではドメインのセレクターを一覧できないため、チェッカーは名前を推測する必要があります。ご利用のサービスがよく使われる名前以外で署名していると、DKIMが機能していても何も見つかりません。送信したメールのs=タグにあるセレクターを入力してください。それでも見つからない場合は、そのドメインに鍵が公開されていません。

1,024ビットのDKIM鍵はまだ使えますか？

1,024ビットのRSA鍵で署名したメールは、Gmail、Yahoo、Microsoftで引き続き認証に合格します。おすすめの鍵長は2,048ビットです。Gmailは1,024ビット未満の鍵を、署名がまったくないものとして扱います。鍵長はDNSで設定するものではありません。メールに署名するサービスが鍵を発行するため、そのサービスで2,048ビットの鍵を生成できる場合は生成し、レコードを置き換えてください。

DKIMレコードのp=が空の場合、どういう意味ですか？

RFC 6376では、空のp=を失効した鍵として扱います。受信サーバーは、そのセレクターで付けたすべての署名を失敗とします。もう送信に使っていないセレクターを廃止するには、これが正しい方法です。まだそのセレクターで署名しているサービスがある場合は、そこにそのサービスの現在の鍵を公開してください。