Jak znaleźć selektor DKIM (i sprawdzić, czy działa)

Każdy e-mail, który wysyłasz, zawiera ukryty podpis potwierdzający, że pochodzi z Twojej domeny, a selektor DKIM to krótka nazwa, która wskazuje serwerom pocztowym odbiorców, gdzie znaleźć klucz do sprawdzenia tego podpisu. Selektor jest dołączony do każdej wiadomości, więc możesz go znaleźć w czterech miejscach: w nagłówkach wiadomości z Twojej domeny, która dotarła do skrzynki odbiorczej, w ustawieniach platformy, przez którą wysyłasz pocztę, w rekordach DNS albo w raportach DMARC.

Ten poradnik omawia wszystkie cztery sposoby, od najszybszego sprawdzenia po sposób, który pokazuje wszystkie selektory używane przez Twoją domenę. Na końcu znajdziesz dwa testy, które pokazują, czy znaleziony selektor działa.

Co znajdziesz w tym poradniku

• Czym jest selektor DKIM?
• Jak znaleźć selektor DKIM w nagłówku wiadomości e-mail?
• Gdzie platformy wysyłkowe pokazują selektor DKIM?
• Jak wyszukać selektor DKIM w DNS?
• Jak zobaczyć wszystkie selektory podpisujące pocztę z Twojej domeny?
• Dlaczego DKIM nie przechodzi weryfikacji, mimo że selektor istnieje?
• Jak sprawdzić, czy Twój selektor DKIM działa
• FAQ
• Podsumowanie

Czym jest selektor DKIM?

DKIM (DomainKeys Identified Mail) to standard, na którym opierają się ukryte podpisy wiadomości e-mail. Usługa, która wysyła e-maile w imieniu Twojej domeny, podpisuje każdą wiadomość kluczem prywatnym, a serwery odbiorców sprawdzają ten podpis za pomocą klucza publicznego opublikowanego w Twoim DNS. Selektor DKIM to etykieta, która wskazuje, którego klucza należy użyć do sprawdzenia podpisu, ponieważ jedna domena może publikować kilka kluczy.

Selektor znajduje się w znaczniku s= nagłówka DKIM-Signature. Oto skrócony przykład:

DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=mail2025; ...

W tym przykładzie selektorem jest mail2025. Serwer odbiorcy łączy go z domeną i wyszukuje w DNS rekord mail2025._domainkey.example.com, z którego pobiera klucz publiczny.

Nazwy selektorów to zwykłe etykiety złożone z liter i cyfr, wybrane przez tego, kto skonfigurował podpisywanie. Spotykane w praktyce selektory to na przykład mail, k1, s1, selector1, google lub etykiety z datą, takie jak mail2025. Nazwa pojawia się w dwóch miejscach, które muszą się dokładnie zgadzać: w znaczniku s= podpisu i w nazwie rekordu DNS.

Jak znaleźć selektor DKIM w nagłówku wiadomości e-mail?

Najszybciej znajdziesz selektor, odczytując go z wiadomości ze swojej domeny, która została już dostarczona. Otwórz ją w skrzynce, do której dotarła, a nie w folderze wiadomości wysłanych: kopia w tym folderze jest zwykle zapisywana, zanim Twój serwer poczty wychodzącej doda podpis DKIM, więc nie ma w niej nagłówka DKIM-Signature. Jeśli nie masz pod ręką odebranej kopii, wyślij wiadomość ze swojej domeny na skrzynkę w innej usłudze (wystarczy prywatne konto Gmail) i otwórz ją tam. Następnie wyświetl źródło wiadomości, czyli jej pełną treść razem z nagłówkami:

1. W skrzynce Gmail otwórz wiadomość, kliknij menu z trzema kropkami i wybierz Pokaż oryginał.
2. W programie Outlook otwórz wiadomość i wybierz View > Message source (lub View message details, w zależności od wersji).
3. W aplikacji Apple Mail wybierz View > Message > All Headers.
4. Wyszukaj w tekście DKIM-Signature i odczytaj wartość po s=.

Wiadomość często zawiera więcej niż jeden nagłówek DKIM-Signature, ponieważ platforma wysyłkowa podpisuje ją również własną domeną, obok Twojej. Odczytaj ten nagłówek, którego znacznik d= zawiera Twoją domenę: jego s= to selektor, od którego zależy wyrównanie (alignment) w DMARC.

Gdzie platformy wysyłkowe pokazują selektor DKIM?

Selektor znajdziesz również w ustawieniach uwierzytelniania platformy, która wysyła Twoje e-maile:

• Google Workspace generuje klucz DKIM w konsoli administracyjnej (Admin console), w sekcji Apps > Google Workspace > Gmail > Authenticate email, a domyślnym selektorem jest google.
• Microsoft 365 wymaga opublikowania dwóch rekordów CNAME o nazwach selector1 i selector2, a przy rotacji kluczy przełącza się między nimi.
• Platformy marketingowe i e-commerce (Mailchimp, Klaviyo, Shopify i inne) mają stronę uwierzytelniania domeny z dokładną listą rekordów DNS do opublikowania. Selektor to etykieta przed ._domainkey w nazwie hosta każdego z tych rekordów.

Sklep internetowy często korzysta jednocześnie z dwóch lub trzech selektorów (np. platforma e-commerce podpisuje potwierdzenia zamówień, a platforma do wysyłki newsletterów podpisuje kampanie, przy czym każda z nich używa własnego selektora).

Jak wyszukać selektor DKIM w DNS?

Bezpłatne narzędzie DMARCeye do sprawdzania DKIM przeprowadzi wyszukiwanie za Ciebie: wpisz swoją domenę, a narzędzie sprawdzi selektory, których najczęściej używają duże platformy.

Jak zobaczyć wszystkie selektory podpisujące pocztę z Twojej domeny?

Trzy opisane wyżej sposoby mają wspólne ograniczenie: każdy z nich pokazuje jedną wiadomość albo jedną platformę. Wszystkie selektory razem zobaczysz w raportach zbiorczych DMARC, czyli codziennych podsumowaniach, które serwery pocztowe odbiorców wysyłają na temat wiadomości podających Twoją domenę jako nadawcę. Każdy raport zawiera listę zaobserwowanych usług wysyłających i wyniki ich weryfikacji uwierzytelniania, łącznie z selektorem.

DMARCeye analizuje te raporty za Ciebie i pokazuje, które klucze są aktywne, które usługi z nich korzystają i gdzie występują problemy z wyrównaniem. Nieznany selektor w raportach warto sprawdzić, ponieważ oznacza albo usługę, którą ktoś podłączył bez Twojej wiedzy, albo nadawcę, który podszywa się pod Ciebie.

Bezpłatny plan DMARCeye obejmuje monitorowanie raportów zbiorczych DMARC dla jednej domeny.

Dlaczego DKIM nie przechodzi weryfikacji, mimo że selektor istnieje?

Niepowodzenia DKIM mają cztery przyczyny:

• Nazwy się nie zgadzają. Usługa podpisuje wiadomości jednym selektorem, a klucz znajduje się w DNS pod inną nazwą, często po migracji na inną platformę.
• Rekord zniknął lub ma literówkę. Ktoś usunął go podczas porządkowania DNS albo wpisał nazwę rekordu z domeną powtórzoną dwa razy.
• Wartość klucza jest obcięta. Niektóre panele DNS dzielą lub obcinają długie klucze przy wklejaniu, a niepełny klucz niczego nie weryfikuje.
• Domena podpisująca nie jest Twoja. Platforma podpisuje wiadomości własną domeną w znaczniku d=, więc podpis przechodzi weryfikację, ale nie jest wyrównany z Twoją domeną na potrzeby DMARC.

Takie problemy z konfiguracją są częste nawet u największych dostawców. W zbiorze danych DMARCeye za Q1 2026, w zestawieniu wskaźników niepowodzeń DKIM wśród top 10 ESP, Google LLC ma wynik 11,1%, Microsoft Corporation 19,6%, Mailgun 22,9%, a Proofpoint 26,3%, czyli najwyższy wśród top 10 ESP, które zmierzyliśmy.

Jak zauważa sam raport za Q1, niska zgodność u dużego ESP to niemal zawsze problem konfiguracyjny po stronie nadawcy, a nie wada samego dostawcy. Klienci nie dodali odpowiednich kluczy DKIM do swojego DNS, zapomniane narzędzie podpisuje wiadomości złym selektorem albo ktoś przeprowadził rotację klucza tylko po jednej stronie.

Liczby zgodności odzwierciedlają też mieszankę klientów, których monitoruje DMARCeye, i mogą się różnić od ogólnej bazy klientów każdej z platform.

Jak sprawdzić, czy Twój selektor DKIM działa

Gdy znajdziesz selektor i potwierdzisz, że DNS zwraca dla niego rekord, sprawdź cały łańcuch jednym testem:

1. Wyślij nową wiadomość ze swojej domeny na skrzynkę, do której masz dostęp.
2. Otwórz źródło wiadomości w taki sam sposób jak przy opisanym wyżej sprawdzaniu nagłówka.
3. Znajdź nagłówek Authentication-Results i poszukaj w nim wpisu dkim=pass. W wersji tego nagłówka dodawanej przez Gmail znajdziesz też nazwę sprawdzonego selektora jako header.s=.

Jeden udany test dowodzi, że selektor działa dla jednej usługi w jednym dniu. To, czy wszystkie usługi nadal poprawnie podpisują wiadomości, pokazują raporty DMARC: codziennie i dla wszystkich usług naraz.

FAQ

Czy domena może mieć więcej niż jeden selektor DKIM?

Tak, i większość domen, które wysyłają pocztę przez więcej niż jedną usługę, ma ich kilka. Każda usługa wysyłająca podpisuje wiadomości własnym kluczem pod własnym selektorem, więc sklep internetowy może mieć jeden selektor dla potwierdzeń zakupu, jeden dla newsletterów i jeden dla systemu helpdesk. Selektory istnieją w DNS obok siebie i nigdy ze sobą nie kolidują.

Czy nazwa selektora ma znaczenie?

Nie. Selektor to etykieta, więc sprawdzi się każda krótka nazwa złożona z liter i cyfr. Ważne jest, aby nazwa w znaczniku s= podpisu była taka sama jak nazwa rekordu DNS, w którym znajduje się klucz publiczny. Jeśli te dwie nazwy się różnią, weryfikacja kończy się niepowodzeniem, nawet gdy sam klucz jest poprawny.

Czym są selector1 i selector2?

To dwa selektory, których Microsoft 365 używa dla każdej domeny, w imieniu której podpisuje wiadomości. Podczas konfiguracji DKIM publikujesz oba jako rekordy CNAME, a Microsoft przełącza się między nimi przy rotacji kluczy, dzięki czemu poczta przechodzi weryfikację także w trakcie rotacji.

Podsumowanie

Znalezienie selektora DKIM to jednorazowe sprawdzenie: odczytaj znacznik s= w dostarczonej wiadomości, sprawdź ustawienia uwierzytelniania swojej platformy albo odpytaj bezpośrednio DNS. Utrzymanie wszystkich selektorów w działaniu to zadanie ciągłe, ponieważ dochodzą nowe usługi, klucze są rotowane, a rekordy DNS usuwa przy porządkach ktoś, kto nie wiedział, co oznacza _domainkey. Twoje raporty DMARC rejestrują wszystkie te zmiany, a DMARCeye zamienia je w aktualną listę selektorów, które podpisują pocztę z Twojej domeny, i tych, które przestały przechodzić weryfikację.