В панели хостинга REG.RU DKIM включён, но проверка письма сообщает об отсутствующем ключе или неуспешной подписи. Если домен использует внешние NS, настройка могла остаться только внутри панели. Получатель обращается к действующей DNS-зоне и не видит опубликованного там ключа.
Это одна из возможных причин, которую нужно подтвердить. Не генерируйте новый ключ сразу: сначала установите домен подписи, селектор и фактический ответ DNS. Поспешная замена ключей может осложнить проверку сообщений, уже находящихся в очередях.
При проверке после миграции сохраните также прежний селектор. Очереди могут ещё передавать сообщения, подписанные старым ключом, пока новые уже используют другой. Не удаляйте старую запись только из-за появления новой: сначала установите, какие потоки и сохранённые сообщения ещё зависят от неё, и согласуйте срок завершения перехода.
Убедитесь, что письмо вообще подписано
Откройте исходные заголовки новой копии. Если DKIM-Signature отсутствует, проблема начинается до DNS-проверки ключа. Уточните маршрут: почтовый ящик хостинга, локальный скрипт или внешний SMTP. Настройка почтового домена в панели не подтверждает подписывание отправлений, которые обходят этот сервер.
Если подпись присутствует, сохраните d= и s=. Они задают адрес поиска открытого ключа. Видимый From может отличаться от домена подписи, а название домена сайта не обязано совпадать с обоими. Поэтому поиск записи по привычному имени без чтения заголовков легко приводит к ложному выводу «DKIM настроен».
Сопоставьте свою панель с официальной инструкцией
REG.RU публикует инструкции DKIM для ispmanager, cPanel и Plesk. Выберите вариант своей услуги и проверьте, для какого почтового домена включена подпись. Если в панели несколько доменов, настройка соседнего не исправляет проверяемый адрес автоматически.
Для внешних DNS дополнительно нужен открытый ключ в публичной зоне. Получите значение из конфигурации подписывающего сервера или соответствующего раздела панели. Не берите ключ из картинки документации и не копируйте его у другого домена. Ключ должен соответствовать закрытому ключу, которым подписана новая копия.
Определите действующий источник DNS
Проверьте NS домена и найдите кабинет, управляющий авторитетной зоной. Регистратор REG.RU, панель хостинга и внешний DNS-сервис могут хранить разные таблицы. Запись, видимая в неиспользуемой зоне, не участвует в проверке получателя.
В настройке почты REG.RU отдельно рассматриваются собственные и сторонние DNS-серверы. Это полезная отправная точка для карты ответственности. Менять делегацию всего домена ради одной TXT-записи не требуется, если вы можете опубликовать её у действующего DNS-провайдера.
Проверьте полное имя записи
DNS-панели по-разному принимают имя: одним нужен селектор с _domainkey, другим — полное имя вместе с доменом. После сохранения проверьте итоговое публичное имя. Случайное удвоение домена создаёт запись, которая существует, но находится не там, где её ищет проверяющая сторона.
Сверьте значение открытого ключа и формат. Длинная TXT-запись может отображаться несколькими частями, что само по себе ещё не доказывает повреждение. Важен итог, получаемый DNS-клиентом. Закрытый ключ не публикуется; если панель предлагает несколько файлов, уточните их назначение до переноса содержимого.
Разберите результат после публикации
Если ключ не находится, проверяйте имя, делегацию и кэш. Если ключ найден, а подпись не проходит, возможны другие причины: несовпадение ключа, изменение подписанных частей сообщения или особенности маршрута. Это гипотезы, которые нужно проверять по конкретной копии, а не список уже доказанных ошибок вашего сайта.
Не смешивайте DKIM pass и DMARC pass. Успешная подпись может принадлежать домену, который не согласован с видимым From. Для DMARC достаточно успешного согласованного метода, но сама галочка DKIM в панели не сообщает, какой домен получил подтверждение на стороне получателя.
Подтвердите изменение новой копией
Когда публичная запись видна, отправьте рабочее письмо через прежнюю систему на адреса теста Check. Сохраняйте шаблон и отправителя. Проверьте результат новой подписи, затем отдельно фактическую папку доступных контрольных копий. Изменение DNS не меняет уже сохранённые заголовки старого сообщения.
Если DKIM исправлен, но письмо осталось в Спаме, это не означает, что настройка была бесполезна. Исправлена конкретная техническая проблема; решение о папке шире. Следующий этап описан в статье о pass при Спаме, а границы измерений — в методологии Check.
Сохраните имя селектора, источник открытого ключа и кабинет публикации. Такая запись позволит проверить настройку после миграции DNS и избежать повторного включения подписи, когда на самом деле потерялась только публичная часть конфигурации.
Видео-памятка: что проверить
Видео без звука, 24 секунды. Текстовая версия краткого плана:
- Подписывание на сервере и публикация ключа — два этапа.
- Запись ищут по d= и s= полученного письма.
- После исправления нужна новая отправка.