DKIM

Guia de configuração do registro DKIM

Como funciona a assinatura DKIM, por que ela sobrevive ao encaminhamento quando o SPF não, e como trocar uma chave com segurança.

Gerador de Registro DKIMRode no seu próprio domínio primeiro. Grátis, sem conta.

O que é DKIM?

O DKIM (DomainKeys Identified Mail) adiciona uma assinatura criptográfica a cada mensagem que você envia. O servidor de destino a verifica contra uma chave pública publicada no seu DNS, o que prova que a mensagem realmente saiu do seu domínio e não foi alterada no caminho.

Como o DKIM ajuda na entregabilidade

O DKIM é uma das três checagens de autenticação (junto com SPF e DMARC) que os provedores de caixa postal usam para decidir se confiam no seu email. Uma assinatura DKIM válida é necessária para passar no DMARC por alinhamento, e Google e Yahoo agora a exigem de quem envia em massa.

Usando o registro gerado

Publique a chave pública gerada como registro TXT em selector._domainkey.yourdomain.com, mantenha a chave privada correspondente na sua plataforma de envio e confirme que a assinatura passa antes de depender dela.

Por que o DKIM sobrevive ao encaminhamento quando o SPF não

O SPF verifica o servidor que entregou a mensagem, então um servidor de encaminhamento o quebra. O DKIM assina a própria mensagem, então a assinatura continua válida depois de um salto, desde que nada tenha reescrito o corpo ou os cabeçalhos assinados. É por isso que listas de discussão que adicionam rodapés quebram o DKIM e encaminhadores simples geralmente não.

Trocando uma chave DKIM com segurança

Publique primeiro a chave nova num seletor novo, mude a sua plataforma de envio para assinar com ela, espere até não haver mais email assinado com o seletor antigo e só então remova o registro antigo. Apagar a chave antiga cedo demais faz toda mensagem ainda em trânsito falhar na verificação.

Verifique o seu agora

Gere o registro com o gerador de registro DKIM gratuito, publique-o, depois mande uma mensagem para você mesmo e cole os cabeçalhos brutos no analisador de cabeçalhos de email gratuito. A linha Authentication-Results é o veredito do próprio servidor de destino, e é a única que define se o DKIM está passando.

Como publicar um registro DKIM

Gere um par de chaves DKIM, publique a chave pública no DNS e verifique a assinatura.

Escolha um seletorEscolha um rótulo curto como s1 ou mail. Ele identifica qual chave os servidores de destino devem usar e permite publicar várias chaves ao mesmo tempo.
Pegue a chave públicaA maioria das plataformas de envio gera o par de chaves para você e mostra a metade pública. Se a sua não fizer isso, gere uma chave RSA de 2048 bits e mantenha a metade privada na plataforma.
Publique o registro TXTCrie um registro TXT em selector._domainkey.yourdomain.com com o valor gerado. Cuidado com provedores de DNS que quebram valores longos, uma causa comum de falha silenciosa.
Ative a assinaturaAtive a assinatura DKIM na plataforma de envio e mande uma mensagem de teste para você mesmo.
Verifique a assinaturaCole os cabeçalhos brutos dessa mensagem de teste no analisador de cabeçalhos de email e confirme que a linha Authentication-Results mostra dkim=pass.

Perguntas frequentes

O que é um seletor DKIM?

Um seletor é um rótulo (por exemplo, "google" ou "s1") que diz aos servidores de destino qual chave pública DKIM usar. Ele permite publicar várias chaves e trocá-las com segurança.

O DKIM é obrigatório?

Para quem envia em massa para Gmail e Yahoo, sim. Para todo mundo, o DKIM aumenta bastante a confiança e é necessário para passar no DMARC por alinhamento de DKIM.

Qual deve ser o tamanho da minha chave DKIM?

Use pelo menos uma chave RSA de 2048 bits quando o seu provedor suportar; 1024 bits é o mínimo, mas é mais fraca.

Por que o meu DKIM está falhando?

As causas comuns são um seletor que não bate, o registro quebrado ou truncado no DNS, ou a mensagem modificada por uma lista de discussão depois da assinatura. Use um analisador de cabeçalhos de email para ver o resultado exato do DKIM.

Como testo o meu registro DKIM?

Mande uma mensagem para você mesmo e cole os cabeçalhos brutos dela no analisador de cabeçalhos de email gratuito. O cabeçalho Authentication-Results mostra dkim=pass ou dkim=fail com o domínio e o seletor que foram verificados.

Posso ter mais de um seletor DKIM?

Sim, e normalmente deveria. Cada plataforma de envio pode assinar com o próprio seletor, e a troca de chave funciona publicando o seletor novo antes de aposentar o antigo.

Mais guias

Estas ferramentas respondem a pergunta uma vez. O monitoramento contínuo reverifica seu domínio a cada 6 horas e avisa quando a resposta muda, a partir de $14/mês. Preços