テストモード(t=y)のまま残っている
導入時に付けた t=y が、運用に入っても残っている例です。署名が失敗しても未署名と同じに扱われるため、保護が効かなくなる点を警告で知らせます。
入力
DKIM の TXT レコードの値
v=DKIM1; k=rsa; t=y:s; p=QUJDRA==
結果
エラー 0 件・警告 1 件・情報 1 件
指摘(エラー・警告・情報)
- 警告 t t=y(テストモード)が付いています。検証側は、署名が失敗しても署名のないメールと同じ扱いにするため、DKIM の保護が効きません。運用に入ったら外します(RFC 6376 3.6.1)。
- 情報 t t=s が付いています。署名の i= のドメインが d= と完全に同じ場合だけ有効になり、サブドメインの署名は認められません(RFC 6376 3.6.1)。
| タグの数 | 4 |
|---|---|
| 鍵の種類 | rsa |
| 鍵の状態 | 有効な形式 |
タグごとの読み取り結果
| タグ | 値 | 意味 |
|---|---|---|
| v | DKIM1 | バージョン(DKIM1 のみ有効) |
| k | rsa | 鍵の種類: rsa |
| t | y:s | フラグ: y=テストモード・s=サブドメイン不可 |
| p | QUJDRA== | 公開鍵のデータ(base64 を戻すと約 4 バイト) |
検算(この結果になる理由)
t=y:s は y と s の 2 つのフラグです。y は検証失敗を未署名と同じに扱わせるテストモードなので警告、s は i= を d= と完全一致に限る指定なので情報になります(RFC 6376 3.6.1)。
判定の根拠は仕様と根拠に、仕様の出典とともにまとめています。自分の入力で試すにはツールをお使いください。
このツールの制約
- 公開鍵が実際に正しい RSA 鍵かどうかや、鍵の長さの強さは判定しません。base64 として読めるかどうかまでを調べます。
- DNS に問い合わせて登録内容を取得する機能はありません。貼り付けた文字だけを読みます。
- DMARC・SPF のレコードは対象外です。それぞれ別の仕様(RFC 7489・RFC 7208)で書式が異なります。
ご利用にあたって
- 結果は書式の点検で、DKIM の署名が実際に通ることを保証するものではありません。
- 本番の DNS を変えたあとは、実際にメールを送って受信側の認証結果(Authentication-Results)も確認してください。