DKIM 记录构建器 & 解析器
DKIM 是现代邮件认证（与 SPF、DMARC 并列）的公钥部分。邮件服务器把公钥发布在 `<selector>._domainkey.<domain>` 的 DNS TXT 记录中，接收方据此验证来邮签名。本工具根据 DKIM 的标签（`v`, `k`, `h`, `p`, `s`, `t`, `n`, `g`）构建记录，并显示完整 DNS 名、记录正文、根据公钥长度估算的 RSA 密钥位数，以及当超过单条 TXT 字符串 255 字节上限时的 DNS 分段表示（`"..." "..."`）。Parse 模式则相反：粘贴现有 DKIM 记录，按标签显示注释含义。
v=DKIM1; k=rsa; h=sha256; s=email; p=
- ⚠ 公钥（p=）为空 —— 粘贴公钥前该记录无效。
DKIM = RFC 6376。公钥以 TXT 记录形式发布在 `<selector>._domainkey.<domain>`；对应私钥存放于邮件服务器 / 签名者侧。
使用方法
- 在 Build 模式输入 selector（如 'mail'、'google'、's1'）和域名。
- 选择密钥类型（RSA / Ed25519），粘贴 base64 公钥 —— PEM 头（-----BEGIN ...-----）会被自动去除。
- 按需切换标志（y=测试、s=严格子域）、服务（email / *）和备注。
- 复制记录正文给 DNS 提供商。如果超过 255 字符，用下方的 DNS 分段版本（带引号字符串）—— 大多数提供商接受这种格式。
- 使用 Parse 模式把现有 DKIM TXT 记录解码为带注释的标签视图。
常见问题
- selector 是什么？
- 你自己起的短标签，允许一个域名同时发布多个 DKIM 密钥 —— 比如事务邮件用 's1'，营销用 'mailgun'。它是 DNS 名最左侧的标签：`selector._domainkey.example.com`。轮换密钥时先发布新 selector，再切换签名者。
- 为什么要拆成多个带引号字符串？
- 单条 DNS TXT 字符串最多 255 个八位字节。现代密钥（RSA 2048 及以上）生成的 base64 比这长，因此被拆成多个相邻带引号字符串。解析器会自动拼接。本工具的 DNS 分段输出已经替你做好了拆分。
- t=y 与 t=s 有何区别？
- `t=y`（testing）告诉接收方该域名还在试用 DKIM —— 失败不视为重要。生产环境去掉。`t=s`（strict）表示签名邮件中的 `i=` 标识必须严格等于这个域名 —— 不继承子域。
- 选 RSA 还是 Ed25519？
- RSA 2048 是普遍支持的默认值；除非确认接收方已支持 Ed25519，否则选 RSA。Ed25519 记录短得多（单条 TXT 即可容纳）签名也更小，但接收方支持仍在普及中。
相关工具
DMARC 记录构建器
构建 `_dmarc` TXT 记录 —— 策略、子域策略、百分比逐步推出、对齐、rua/ruf 报告 —— 带安全警告。
TXT 记录拆分器（255 字节块）
把长 SPF、DKIM 或 DMARC TXT 记录拆分为 DNS 协议要求的 255 字节块 —— 输出 BIND、通用 zone 文件、Cloudflare 或 Route 53 语法。
SPF 记录构建器
由机制、IP 和 include 构建 Sender Policy Framework TXT 记录 —— 带实时 DNS 查询计数和警告。
邮件头分析器
粘贴原始邮件头以按顺序遍历 Received 跳数，查看每跳延迟，并读取 SPF/DKIM/DMARC 结果。
CAA 记录构建器 (DNS 证书颁发机构授权)
生成 DNS CAA (Certificate Authority Authorization) 记录，让只有你信任的 CA 才能为你的域名签发 TLS 证书。生成 BIND 格式记录和控制面板用的 tag/value 分行格式，并附常见 CA (Let's Encrypt、DigiCert、Google、Amazon…) 一键添加。
DNS 记录参考
可搜索的 DNS 记录类型速查表 — A、AAAA、CNAME、MX、TXT、NS、SOA、PTR、SRV、CAA、DNSSEC、SVCB / HTTPS — 含示例。