Každý e-mail, který odešlete, nese skrytý podpis dokazující, že pochází z vaší domény. DKIM selektor je krátký název, který přijímajícím poštovním serverům říká, kde najdou klíč k ověření tohoto podpisu. Selektor cestuje s každou zprávou, takže ho najdete na čtyřech místech: v hlavičkách doručené zprávy z vaší domény, v nastavení odesílací platformy, v DNS záznamech nebo v DMARC reportech.
Tento průvodce vás provede všemi čtyřmi způsoby, od nejrychlejší kontroly až po tu, která ukáže všechny selektory vaší domény. Na závěr popisuje dvě kontroly, podle kterých poznáte, zda nalezený selektor funguje.
DKIM (DomainKeys Identified Mail) je standard pro skryté podpisy e-mailů. Služba, která odesílá e-maily pod vaší doménou, podepisuje každou zprávu soukromým klíčem a přijímající servery podpis ověřují pomocí veřejného klíče zveřejněného ve vašem DNS. DKIM selektor je označení, podle kterého servery poznají, který klíč mají použít, protože jedna doména může zveřejnit více klíčů.
Selektor je uvedený v parametru s= hlavičky DKIM-Signature. Tady je zkrácený příklad:
DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=mail2025; ...
V tomto příkladu je selektorem mail2025. Přijímající server ho spojí s doménou a veřejný klíč získá z DNS záznamu na adrese mail2025._domainkey.example.com.
Názvy selektorů jsou obyčejná označení z písmen a číslic a volí je ten, kdo podepisování nastavoval. V praxi se setkáte se selektory jako mail, k1, s1, selector1, google nebo s názvy obsahujícími rok, například mail2025. Název se objevuje na dvou místech a na obou musí být přesně stejný: v parametru s= podpisu a v názvu DNS záznamu.
Nejrychleji selektor zjistíte z již doručené zprávy, kterou jste odeslali ze své domény. Otevřete ji ve schránce, do které přišla, ne ve složce odeslané pošty: kopie v odeslané poště se obvykle uloží dřív, než váš odchozí poštovní server přidá DKIM podpis, takže hlavičku DKIM-Signature vůbec neobsahuje. Pokud doručenou kopii nemáte k dispozici, pošlete zprávu ze své domény do schránky u jiné služby (stačí osobní účet Gmail) a otevřete ji tam. Pak si zobrazte zdrojový kód zprávy:
DKIM-Signature a přečtěte si hodnotu za s=.Zpráva často obsahuje více než jednu hlavičku DKIM-Signature, protože odesílací platforma ji vedle vaší domény podepisuje i svou vlastní doménou. Hledejte tu, jejíž parametr d= uvádí vaši doménu: její s= je selektor, na kterém závisí sladění DMARC.
Selektor najdete také v nastavení ověřování platformy, která vaše e-maily odesílá:
google.selector1 a selector2, které zveřejníte v DNS, a při obměně klíčů mezi nimi střídá.._domainkey.E-shop běžně používá dva nebo tři selektory současně (například e-shopová platforma podepisuje potvrzení objednávek, platforma pro rozesílání newsletterů podepisuje kampaně a každá z nich používá vlastní selektor).
Vyhledání za vás provede bezplatná kontrola DKIM od DMARCeye: zadejte svou doménu a nástroj projde selektory, které velké platformy běžně používají.
Tři předchozí kontroly mají společné omezení: každá ukáže jen jednu zprávu nebo jednu platformu. Všechny selektory pohromadě uvidíte ve svých souhrnných DMARC reportech, tedy v denních přehledech, které přijímající poštovní servery posílají o e-mailech uvádějících vaši doménu jako odesílatele. Každý report uvádí odesílací služby, které server zaznamenal, a výsledky jejich ověřovacích kontrol včetně selektoru.
DMARCeye tyto reporty čte za vás a ukazuje, které klíče jsou aktivní, které služby je používají a kde vznikají problémy se sladěním. Pokud v reportech uvidíte selektor, který neznáte, prověřte ho: buď jde o službu, kterou někdo připojil, aniž by vám to řekl, nebo o odesílatele, který se za vás vydává.
Bezplatný plán DMARCeye zahrnuje sledování souhrnných DMARC reportů pro jednu doménu.
Selhání DKIM mají čtyři příčiny:
d=, takže podpis projde, ale pro DMARC není sladěný s vaší doménou.Takové problémy s konfigurací jsou běžné i u největších poskytovatelů. Podle dat DMARCeye za Q1 2026 je míra selhání DKIM u top 10 ESP 11,1 % u Google LLC, 19,6 % u Microsoft Corporation, 22,9 % u služby Mailgun a 26,3 % u služby Proofpoint, což je nejvyšší hodnota mezi top 10 ESP, které jsme měřili.
Jak konstatuje samotná zpráva za Q1, nízká shoda u velkého ESP je téměř vždy problémem konfigurace na straně odesílatele, nikoli vadou samotného poskytovatele. Zákazníci nepřidali do svého DNS správné DKIM klíče, zapomenutý nástroj podepisuje špatným selektorem, nebo někdo obměnil klíč jen na jedné straně.
Čísla shody také odrážejí mix zákazníků, který DMARCeye monitoruje, a mohou se lišit od celkové zákaznické základny jednotlivých platforem.
Když selektor najdete a ověříte, že DNS záznam vrací klíč, prověřte celý řetězec jedním testem:
Authentication-Results a v ní dkim=pass. Gmail v této hlavičce uvádí i selektor, který kontroloval, jako hodnotu header.s=.Jeden úspěšný test dokazuje, že selektor funguje pro jednu službu v jeden den. Zda všechny služby podepisují správně i nadále, vám každý den a pro všechny najednou ukážou vaše DMARC reporty.
Ano, většina domén, které odesílají přes více služeb, jich má několik. Každá odesílací služba podepisuje vlastním klíčem pod vlastním selektorem, takže e-shop může mít jeden selektor pro účtenky, jeden pro newslettery a jeden pro helpdesk. Selektory jsou v DNS uložené vedle sebe a nikdy si nepřekážejí.
Ne, selektor je označení a poslouží jakýkoli krátký název z písmen a číslic. Důležité je, aby se název v parametru s= podpisu shodoval s názvem DNS záznamu, ve kterém je uložený veřejný klíč. Pokud se oba názvy liší, ověření selže, i když je samotný klíč správný.
Jsou to dva selektory, které Microsoft 365 používá pro každou doménu, za kterou podepisuje. Při nastavení DKIM zveřejníte oba jako CNAME záznamy a Microsoft mezi nimi při obměně klíčů střídá, takže pošta prochází ověřením i během obměny.
Najít DKIM selektor je jednorázový úkol: přečtěte si parametr s= v doručené zprávě, podívejte se do nastavení ověřování své platformy, nebo vyhledejte záznam přímo v DNS. Udržet všechny selektory funkční je ale průběžná práce, protože přibývají nové služby, klíče se obměňují a DNS záznamy občas při úklidu smaže někdo, kdo nevěděl, co znamená _domainkey. Vaše DMARC reporty zaznamenají všechny tyto změny a DMARCeye z nich vytvoří aktuální přehled selektorů, které podepisují poštu vaší domény, a těch, které přestaly procházet ověřením.