Każdy e-mail, który wysyłasz, zawiera ukryty podpis potwierdzający, że pochodzi z Twojej domeny, a selektor DKIM to krótka nazwa, która wskazuje serwerom pocztowym odbiorców, gdzie znaleźć klucz do sprawdzenia tego podpisu. Selektor jest dołączony do każdej wiadomości, więc możesz go znaleźć w czterech miejscach: w nagłówkach wiadomości z Twojej domeny, która dotarła do skrzynki odbiorczej, w ustawieniach platformy, przez którą wysyłasz pocztę, w rekordach DNS albo w raportach DMARC.
Ten poradnik omawia wszystkie cztery sposoby, od najszybszego sprawdzenia po sposób, który pokazuje wszystkie selektory używane przez Twoją domenę. Na końcu znajdziesz dwa testy, które pokazują, czy znaleziony selektor działa.
DKIM (DomainKeys Identified Mail) to standard, na którym opierają się ukryte podpisy wiadomości e-mail. Usługa, która wysyła e-maile w imieniu Twojej domeny, podpisuje każdą wiadomość kluczem prywatnym, a serwery odbiorców sprawdzają ten podpis za pomocą klucza publicznego opublikowanego w Twoim DNS. Selektor DKIM to etykieta, która wskazuje, którego klucza należy użyć do sprawdzenia podpisu, ponieważ jedna domena może publikować kilka kluczy.
Selektor znajduje się w znaczniku s= nagłówka DKIM-Signature. Oto skrócony przykład:
DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=mail2025; ...
W tym przykładzie selektorem jest mail2025. Serwer odbiorcy łączy go z domeną i wyszukuje w DNS rekord mail2025._domainkey.example.com, z którego pobiera klucz publiczny.
Nazwy selektorów to zwykłe etykiety złożone z liter i cyfr, wybrane przez tego, kto skonfigurował podpisywanie. Spotykane w praktyce selektory to na przykład mail, k1, s1, selector1, google lub etykiety z datą, takie jak mail2025. Nazwa pojawia się w dwóch miejscach, które muszą się dokładnie zgadzać: w znaczniku s= podpisu i w nazwie rekordu DNS.
Najszybciej znajdziesz selektor, odczytując go z wiadomości ze swojej domeny, która została już dostarczona. Otwórz ją w skrzynce, do której dotarła, a nie w folderze wiadomości wysłanych: kopia w tym folderze jest zwykle zapisywana, zanim Twój serwer poczty wychodzącej doda podpis DKIM, więc nie ma w niej nagłówka DKIM-Signature. Jeśli nie masz pod ręką odebranej kopii, wyślij wiadomość ze swojej domeny na skrzynkę w innej usłudze (wystarczy prywatne konto Gmail) i otwórz ją tam. Następnie wyświetl źródło wiadomości, czyli jej pełną treść razem z nagłówkami:
DKIM-Signature i odczytaj wartość po s=.Wiadomość często zawiera więcej niż jeden nagłówek DKIM-Signature, ponieważ platforma wysyłkowa podpisuje ją również własną domeną, obok Twojej. Odczytaj ten nagłówek, którego znacznik d= zawiera Twoją domenę: jego s= to selektor, od którego zależy wyrównanie (alignment) w DMARC.
Selektor znajdziesz również w ustawieniach uwierzytelniania platformy, która wysyła Twoje e-maile:
google.selector1 i selector2, a przy rotacji kluczy przełącza się między nimi.._domainkey w nazwie hosta każdego z tych rekordów.Sklep internetowy często korzysta jednocześnie z dwóch lub trzech selektorów (np. platforma e-commerce podpisuje potwierdzenia zamówień, a platforma do wysyłki newsletterów podpisuje kampanie, przy czym każda z nich używa własnego selektora).
Bezpłatne narzędzie DMARCeye do sprawdzania DKIM przeprowadzi wyszukiwanie za Ciebie: wpisz swoją domenę, a narzędzie sprawdzi selektory, których najczęściej używają duże platformy.
Trzy opisane wyżej sposoby mają wspólne ograniczenie: każdy z nich pokazuje jedną wiadomość albo jedną platformę. Wszystkie selektory razem zobaczysz w raportach zbiorczych DMARC, czyli codziennych podsumowaniach, które serwery pocztowe odbiorców wysyłają na temat wiadomości podających Twoją domenę jako nadawcę. Każdy raport zawiera listę zaobserwowanych usług wysyłających i wyniki ich weryfikacji uwierzytelniania, łącznie z selektorem.
DMARCeye analizuje te raporty za Ciebie i pokazuje, które klucze są aktywne, które usługi z nich korzystają i gdzie występują problemy z wyrównaniem. Nieznany selektor w raportach warto sprawdzić, ponieważ oznacza albo usługę, którą ktoś podłączył bez Twojej wiedzy, albo nadawcę, który podszywa się pod Ciebie.
Bezpłatny plan DMARCeye obejmuje monitorowanie raportów zbiorczych DMARC dla jednej domeny.
Niepowodzenia DKIM mają cztery przyczyny:
d=, więc podpis przechodzi weryfikację, ale nie jest wyrównany z Twoją domeną na potrzeby DMARC.Takie problemy z konfiguracją są częste nawet u największych dostawców. W zbiorze danych DMARCeye za Q1 2026, w zestawieniu wskaźników niepowodzeń DKIM wśród top 10 ESP, Google LLC ma wynik 11,1%, Microsoft Corporation 19,6%, Mailgun 22,9%, a Proofpoint 26,3%, czyli najwyższy wśród top 10 ESP, które zmierzyliśmy.
Jak zauważa sam raport za Q1, niska zgodność u dużego ESP to niemal zawsze problem konfiguracyjny po stronie nadawcy, a nie wada samego dostawcy. Klienci nie dodali odpowiednich kluczy DKIM do swojego DNS, zapomniane narzędzie podpisuje wiadomości złym selektorem albo ktoś przeprowadził rotację klucza tylko po jednej stronie.
Liczby zgodności odzwierciedlają też mieszankę klientów, których monitoruje DMARCeye, i mogą się różnić od ogólnej bazy klientów każdej z platform.
Gdy znajdziesz selektor i potwierdzisz, że DNS zwraca dla niego rekord, sprawdź cały łańcuch jednym testem:
Authentication-Results i poszukaj w nim wpisu dkim=pass. W wersji tego nagłówka dodawanej przez Gmail znajdziesz też nazwę sprawdzonego selektora jako header.s=.Jeden udany test dowodzi, że selektor działa dla jednej usługi w jednym dniu. To, czy wszystkie usługi nadal poprawnie podpisują wiadomości, pokazują raporty DMARC: codziennie i dla wszystkich usług naraz.
Tak, i większość domen, które wysyłają pocztę przez więcej niż jedną usługę, ma ich kilka. Każda usługa wysyłająca podpisuje wiadomości własnym kluczem pod własnym selektorem, więc sklep internetowy może mieć jeden selektor dla potwierdzeń zakupu, jeden dla newsletterów i jeden dla systemu helpdesk. Selektory istnieją w DNS obok siebie i nigdy ze sobą nie kolidują.
Nie. Selektor to etykieta, więc sprawdzi się każda krótka nazwa złożona z liter i cyfr. Ważne jest, aby nazwa w znaczniku s= podpisu była taka sama jak nazwa rekordu DNS, w którym znajduje się klucz publiczny. Jeśli te dwie nazwy się różnią, weryfikacja kończy się niepowodzeniem, nawet gdy sam klucz jest poprawny.
To dwa selektory, których Microsoft 365 używa dla każdej domeny, w imieniu której podpisuje wiadomości. Podczas konfiguracji DKIM publikujesz oba jako rekordy CNAME, a Microsoft przełącza się między nimi przy rotacji kluczy, dzięki czemu poczta przechodzi weryfikację także w trakcie rotacji.
Znalezienie selektora DKIM to jednorazowe sprawdzenie: odczytaj znacznik s= w dostarczonej wiadomości, sprawdź ustawienia uwierzytelniania swojej platformy albo odpytaj bezpośrednio DNS. Utrzymanie wszystkich selektorów w działaniu to zadanie ciągłe, ponieważ dochodzą nowe usługi, klucze są rotowane, a rekordy DNS usuwa przy porządkach ktoś, kto nie wiedział, co oznacza _domainkey. Twoje raporty DMARC rejestrują wszystkie te zmiany, a DMARCeye zamienia je w aktualną listę selektorów, które podpisują pocztę z Twojej domeny, i tych, które przestały przechodzić weryfikację.