DKIM sovint es trenca després de migrar correu o DNS perquè selector, propietari de la clau privada i registre DNS deixen de descriure el mateix sistema de signatura. Troba el selector en un missatge sortint real; no l’endevinis des del panell.
Llegeix DKIM-Signature
Registra d= i s= d’un missatge enviat per la ruta nova. Això identifica el DNS exacte que consulta el receptor.
Consulta DNS autoritatiu
Confirma que selector._domainkey resol a la clau actual, sense CNAMEs antics o zona obsoleta.
Identifica qui signa
Moure DNS no mou la clau privada; moure proveïdor de correu pot crear selector nou. Defineix si signa SMTP, Microsoft, Google o API.
Permet coexistència durant migració
Selectors antic/nou poden conviure mentre canvia el trànsit. Retirar l’anterior massa aviat trenca rutes encara actives.
Observa propagació real
Consulta nameservers autoritatius i resolvers públics; “desat” al panell no prova visibilitat externa.
Repeteix alineació i integritat
La signatura ha de passar i, si aplica, alinear DMARC. Gateways que modifiquen cos/headers després de signar també poden invalidar-la.
Usa el diagnòstic DKIM i compara amb lliurament després de moure DNS.
Conserva una taula de migració de selectors
Per al sistema antic i el nou registra proveïdor, selector DKIM, domini d=, destí/valor DNS, primera data d’enviament i data prevista de retirada. Durant la transició tots dos selectors poden ser vàlids. La taula deixa clar quin registre es podrà eliminar i evita retirar la clau antiga mentre encara signen cues o remitents legacy.