Como funcionam a assinatura e a verificação DKIM
O DKIM (DomainKeys Identified Mail) permite que seu servidor de e-mail assine cada mensagem enviada com uma chave privada. A chave pública correspondente é publicada no DNS como um registro TXT em selector._domainkey.seudominio.com. Os receptores leem o seletor no cabeçalho DKIM-Signature, buscam a chave pública e verificam que o corpo da mensagem e os cabeçalhos assinados não foram alterados no caminho.
Uma assinatura válida prova que a mensagem veio mesmo de um servidor que tem a sua chave privada. Para o DMARC passar pelo DKIM, o domínio do d= na assinatura precisa estar alinhado com o domínio do De. É esse alinhamento que protege domínios de cold email contra falsificação e é por isso que o Gmail e a Microsoft exigem DKIM de quem envia em volume.
google._domainkey.yourdomain.com TXT
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...Como descobrir o seu seletor DKIM
O seletor é o rótulo antes de _domainkey e cada provedor escolhe o seu. O Google Workspace usa google por padrão, o Microsoft 365 usa selector1 e selector2, e a maioria das plataformas de envio usa nomes curtos como k1, s1 ou pm. Alguns provedores publicam o registro como CNAME apontando para o DNS deles, o que não é problema, já que os resolvedores seguem o apontamento.
Na dúvida, envie uma mensagem para você mesmo a partir do domínio, abra os cabeçalhos originais e leia a linha DKIM-Signature. O valor depois de s= é o seletor e o valor depois de d= é o domínio que assinou. Cole esse seletor no verificador para uma consulta direta, em vez de uma varredura.
- Google Workspace: seletor google, gerado no console de administração em Autenticar e-mail.
- Microsoft 365: selector1 e selector2, publicados como CNAMEs para onmicrosoft.com.
- Plataformas de envio normalmente mostram o seletor na página de autenticação de domínio.
- Seletores podem ser rotacionados; verifique de novo depois de ativar uma chave nova.
Tamanho da chave e por que 1024 bits já não basta
O verificador estima o tamanho da chave a partir da chave pública em base64. Chaves RSA de 2048 bits são a recomendação atual e são o que o Google Workspace e o Microsoft 365 emitem por padrão. Chaves antigas de 1024 bits ainda são verificadas, mas são consideradas fracas, e alguns provedores se recusam a assinar com algo menor. Chaves Ed25519 são uma alternativa moderna, compacta e forte, embora nem todo receptor as verifique ainda, então mantenha um seletor RSA junto.
Se você encontrar uma chave de 1024 bits, faça a rotação nas configurações de DKIM do seu provedor, publique o novo registro, espere a propagação do DNS e só então mude a assinatura. A InboxOne provisiona DKIM de 2048 bits em toda caixa do Google Workspace que cria, então isso nunca precisa ser feito à mão.
Sinalizadores e tags DKIM que quebram a autenticação em silêncio
Um registro pode estar publicado e ainda assim não te proteger. O sinalizador t=y coloca a chave em modo de teste, dizendo aos receptores para ignorar falhas. Um p= vazio revoga a chave por completo. Restringir os hashes com h=sha1 ou os tipos de serviço com um s= que exclua e-mail faz a verificação falhar nos grandes provedores. O verificador sinaliza cada um desses casos com a tag exata a mudar.
- Remova o t=y assim que confirmar que as assinaturas são verificadas.
- Nunca deixe o p= vazio, a menos que você queira aposentar o seletor.
- Divida chaves longas em várias strings entre aspas se o seu provedor de DNS limitar cada string a 255 caracteres.
- Não insira quebras de linha nem espaços dentro da chave em base64 ao colar.
