DKIMセレクタの調べ方 — 「見つからない」と言われたときに

DKIMには、SPFやDMARCと決定的に違う点があります。外部から「設定されているかどうか」を確実に調べられないのです。

SPFは yourdomain.com のTXTを見れば分かります。DMARCは _dmarc.yourdomain.com を見れば分かります。ところがDKIMは 【セレクタ名】._domainkey.yourdomain.com という場所にあり、この「セレクタ名」を知らないと、どこを見ればいいのか分からないのです。

診断で「確認できず」と出る理由

本サイトのスピード判定は、よく使われるセレクタ名を順に試しているだけです。google、selector1、omdk… といった代表的な名前を叩いて、見つかれば「設定済み」と表示します。

つまり「確認できず」は「未設定」という意味ではありません。独自のセレクタ名を使っていれば、正しく設定されていても見つからないのです。当サイトが「未設定」と断定しないのは、このためです。

確実な調べ方 — 届いたメールのヘッダーを見る

これがいちばん確実です。実際に送られたメールには、使われたセレクタ名が必ず書かれています。

手順（Gmailの場合）

1. 自分のドメインから送ったメールを、Gmailで受け取る（自分宛てに1通送ればOK）
2. そのメールを開き、右上の「⋮」→「メッセージのソースを表示」
3. 表示された文字列の中から DKIM-Signature の行を探す
4. その行の中の s= の後ろがセレクタ名です

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
        d=yourdomain.com; s=omdk; t=1234567890;
                         ^^^^^^ ← これがセレクタ名

あわせて d= も確認してください。ここが自分のドメインになっていることが重要です。配信サービスのドメインになっている場合、署名は本物でもDMARCの合格にはつながりません。

もっと簡単な方法

ヘッダーを読むのが面倒なら、そのまま丸ごとコピーして貼り付けてください。完全判定を選んで貼り付ければ、セレクタ名も d= も自動で読み取って判定します。

使っているサービスが多いなら — DMARCレポートから拾う

DMARCを設定していれば、毎日届く集計レポートに、どの送信元がどのセレクタで署名したかが記録されています。MAツール・通知システム・自社サーバーが入り混じっていて「そもそも何経路あるのか分からない」という場合は、ヘッダーを1通ずつ見るより、こちらのほうが早く全体像がつかめます。

名前が分かったら — DNSを引いて裏を取る

セレクタ名が分かったら、実際に公開鍵が返ってくるかを確かめます。v=DKIM1 や p= で始まる長い文字列が返れば、設定は生きています。

# macOS / Linux
dig TXT 【セレクタ名】._domainkey.yourdomain.com +short

# Windows
nslookup -type=TXT 【セレクタ名】._domainkey.yourdomain.com

📌 何も返らないときは、セレクタ名が違うか、DNSにまだ行き渡っていないか、そもそも登録されていないかのいずれかです。当サイトの無料診断にドメインを入れれば、同じことを画面上で確認できます。

主要サービスの既定セレクタ

よく使われているサービスのセレクタ名です。ここに載せたものは、すべて実際のDNSを引いて存在を確かめています（確かめ方は表の下）。

google._domainkey.orange-cloud7.net   → TXT   v=DKIM1; k=rsa; p=…
selector1._domainkey.microsoft.com    → CNAME selector1-microsoft-com._domainkey.microsoft.onmicrosoft.com
omdk._domainkey.orange-mail.org       → TXT   v=DKIM1; k=rsa; p=…
s1._domainkey.sendgrid.net            → CNAME s1.domainkey.u…….sendgrid.net
k1._domainkey.mailgun.com             → TXT   k=rsa; p=…
k1._domainkey.mailchimp.com           → CNAME dkim.mcsv.net
hs1._domainkey.hubspot.com            → CNAME hubspot-com.hs01a.dkim.hubspotemail.net
zendesk1._domainkey.zendesk.com       → TXT   v=DKIM1; t=s; n=core; k=rsa; p=…
m1._domainkey.marketo.com             → TXT   k=rsa; p=…
default._domainkey.xserver.ne.jp      → TXT   v=DKIM1; k=rsa; p=…

💡 セレクタ名はサービス側が決めるもので、利用者が自由に変えられるとは限りません。分からないときは、お使いのサービスの管理画面で「DKIM」「送信ドメイン認証」といった項目を開けば、設定すべき値と一緒に表示されています。

なぜ selector1 と selector2 のように2本あるのか

表を見ると、1本のサービスと、2本・3本のサービスがあります。この違いは鍵の入れ替え（ローテーション）をどうやるかから来ています。

Microsoft 365 や Amazon SES が2〜3本を要求するのは、このためです。CNAMEで各社の鍵サーバーを指す形になっているのも同じ理由で、鍵そのものはサービス側が持ちます。だから鍵が更新されても、お客様がDNSを触り直す必要がありません。

📌 CNAME方式のとき、ドメイン本体を引いても公開鍵は出てきません。委譲先をたどった結果として鍵が返るのが正常です。

複数のサービスを使っている場合

DKIMは、SPFと違って1本にまとめる必要がありません。サービスごとに違うセレクタ名を使うので、それぞれ追加すれば共存できます。

google._domainkey.yourdomain.com     ← Google Workspace用
omdk._domainkey.yourdomain.com       ← オレンジメール用
s1._domainkey.yourdomain.com         ← 別サービス用

この3つは互いに干渉しません。「SPFは1本、DKIMは何本でも」と覚えてください。

自分でセレクタ名を決めるとき

Salesforceや自社のメールサーバーのように、セレクタ名を自分で決めるものがあります。あとから困らない付け方は次の3つです。

• どの経路の鍵かが分かる名前にする — mkt（マーケティング）、sys（システム通知）、sf（Salesforce）など。何年か経つと、何のために置いた鍵なのか分からなくなります
• 入れ替えを前提にする — s1 / s2 のような連番や、202401 のような日付を付けておくと、鍵を更新するときに古い鍵を残したまま新しい鍵を用意できます（上の「なぜ2本あるのか」と同じ考え方）
• 英数字だけにする — セレクタ名に .（ドット）を含めると、扱えないDNSの管理画面や配信サービスがあります

📌 使わなくなったサービスのセレクタは、切り替えから2〜4週間ほど置いてから消してください。遅延した再送や、忘れていた予約配信が残っていることがあります（→ 配信サービスの乗り換え）。

見つからないときの確認順

1. そもそも設定したか — 配信サービスの管理画面で「DKIM有効」になっているか確認します
2. 反映待ちではないか — DNSの変更は最大72時間かかります
3. 入力場所を間違えていないか — omdk._domainkey と入れるべきところに omdk._domainkey.yourdomain.com と入れると、二重になって別の場所に登録されます（よくある失敗）
4. 署名は自分のドメインか — d= が配信サービスのドメインなら、管理画面で「独自ドメインのDKIM」を有効にしてください

設定値そのものは設定する値をつくるで作成できます。