[Resposta rápida]
DKIM (DomainKeys Identified Mail) adiciona uma assinatura criptográfica a cada e-mail. O servidor remetente assina com uma chave privada e os destinatários a verificam usando uma chave pública publicada no DNS em selector._domainkey.yourdomain.com . Isso prova que a mensagem veio do seu domínio e não foi alterada ( RFC 6376 ).
Fatos importantes
- ›Chave pública publicada como registro TXT (ou CNAME ) em <selector>. _domainkey .<domínio>.
- ›Use chaves RSA de pelo menos 2.048 bits; Chaves de 1024 bits são consideradas fracas.
- ›Um domínio pode ter vários seletores, um por serviço de envio.
- ›O domínio d= na assinatura deve estar alinhado com From para DMARC .
- ›Gire as chaves periodicamente publicando um novo seletor.
Revisado pela equipe de pesquisa EmailAuth
DKIM (DomainKeys Identified Mail) é um padrão de autenticação de e-mail que anexa uma assinatura criptográfica a cada mensagem enviada por um domínio. O servidor receptor usa uma chave pública publicada no seu DNS para verificar essa assinatura. Se for confirmado, o destinatário saberá que a mensagem foi autorizada pelo seu domínio e que partes importantes dela não foram alteradas no caminho. DKIM trabalha com SPF e DMARC para provar que seu e-mail é genuíno e para manter mensagens falsificadas fora das caixas de entrada.
Como funciona DKIM
DKIM usa um par de chaves pública e privada. Seu servidor de envio contém a chave privada e assina cada mensagem enviada com ela. A chave pública correspondente reside em um registro DNS TXT em um local criado a partir do seu seletor, como selector1._domainkey.example.com . Quando um destinatário recebe sua mensagem, ele lê o seletor e o domínio do cabeçalho DKIM-Signature , busca a chave pública do DNS e confirma a assinatura. Uma assinatura válida significa que o e-mail foi assinado por alguém que possui sua chave privada e que o conteúdo assinado não foi alterado durante o transporte.
- Chave privada: armazenada na sua plataforma de envio e nunca compartilhada; produz a assinatura.
- Chave pública: publicada no DNS no seletor para que qualquer receptor possa verificar.
- Seletor: um rótulo que permite executar várias chaves ao mesmo tempo, por exemplo, uma por serviço de envio.
- Assinatura: o cabeçalho DKIM-Signature adicionado ao corpo da mensagem e aos cabeçalhos selecionados.
O que a assinatura cobre
DKIM assina um hash do corpo da mensagem mais um conjunto escolhido de cabeçalhos, geralmente De, Assunto, Data e Para. Se algum campo assinado for alterado após o envio, o hash não corresponderá mais e a verificação falhará. É por isso que DKIM detecta adulteração. Não criptografa a mensagem; prova origem e integridade, não confidencialidade.
Alinhamento DKIM e DMARC
Uma assinatura DKIM passageira é apenas metade da história para DMARC . DMARC também verifica o alinhamento, o que significa que o domínio na assinatura DKIM (a tag d=) deve corresponder ao domínio no endereço De visível. Quando o domínio de assinatura e o domínio De se alinham, DKIM está alinhado e pode satisfazer DMARC . SPF oferece um segundo caminho para o alinhamento, portanto a maioria dos remetentes configura ambos. Alinhar pelo menos um é o que permite mover DMARC do monitoramento para a aplicação.
Qual é a aparência de um registro DKIM
selector1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ..." onde v é a versão, k é o tipo de chave e p é a chave pública.
Por que DKIM é importante agora
Em 2024, o Google e Yahoo começaram a exigir que os remetentes em massa se autenticassem com SPF , DKIM e DMARC . Os e-mails que falharem nessas verificações podem ser limitados ou rejeitados. DKIM também sobrevive melhor ao encaminhamento do que SPF , porque uma mensagem encaminhada mantém sua assinatura mesmo quando o IP de envio muda, desde que o conteúdo assinado permaneça intacto. DKIM forte agora é uma base para alcançar a caixa de entrada em grande escala.
Mantendo DKIM saudável
Use chaves RSA de 2.048 bits onde seu DNS e plataforma permitirem, pois as chaves de 1.024 bits são mais fracas e alguns receptores as tratam com suspeita. Gire as chaves de acordo com uma programação e retire os seletores que você não usa mais. EmailAuth monitora seus seletores ativos, sinaliza chaves fracas ou obsoletas e mostra se DKIM está alinhado ao DMARC . Uma varredura de domínio gratuita relata seus seletores ativos, força de chave e alinhamento em uma única passagem para que você possa corrigir lacunas antes dos destinatários.
Perguntas frequentes
O DKIM criptografa meu e-mail?
Não. DKIM adiciona uma assinatura criptográfica que prova que a mensagem veio do seu domínio e não foi alterada em trânsito. Protege a origem e a integridade, não a confidencialidade. O próprio corpo da mensagem ainda pode ser lido por qualquer pessoa que o intercepte, a menos que você use criptografia de transporte separada.
O que é um seletor DKIM ?
Um seletor é um rótulo que aponta para uma chave pública específica no seu DNS . Permite publicar várias chaves DKIM de uma só vez, por exemplo, uma diferente para cada serviço de envio. O receptor lê o seletor do cabeçalho DKIM-Signature e o usa para encontrar a chave pública correta em selector._domainkey.yourdomain.com .
Preciso DKIM se já tiver SPF ?
Sim. SPF e DKIM verificam coisas diferentes, e DMARC pode alinhar qualquer um deles. DKIM sobrevive melhor ao encaminhamento do que SPF , portanto, ter ambos oferece um caminho mais forte para o alinhamento DMARC . O Google e Yahoo agora esperam que os remetentes em massa usem SPF , DKIM e DMARC juntos.
Com que frequência devo girar as chaves DKIM ?
Uma prática comum é alternar as chaves a cada seis a doze meses, ou antes, se você suspeitar que uma chave foi exposta. A rotação limita os danos causados pelo vazamento de uma chave privada. EmailAuth sinaliza chaves obsoletas para que você saiba quando a atualização de um seletor está atrasada.
O que é DKIM no e-mail?
É uma assinatura digital adicionada aos cabeçalhos das mensagens que permite aos destinatários verificar o domínio de envio e se o conteúdo não foi alterado em trânsito.
Como funciona DKIM ?
O remetente faz o hash dos cabeçalhos e do corpo selecionados, assina o hash com uma chave privada e adiciona um cabeçalho DKIM-Signature . O receptor busca a chave pública do DNS usando o seletor e verifica a assinatura.
Você pode ter vários registros DKIM ?
Sim, um por seletor. Cada serviço de envio geralmente recebe seu próprio seletor e chave.
Como configuro DKIM ?
Habilite DKIM em cada serviço de envio, publique o registro TXT ou CNAME fornecido e verifique com uma pesquisa DKIM .
[ DKIM guia ]
Proveniência da empresa
Por que as principais instituições financeiras e governos retiraram seus painéis de segurança de e-mail.
As plataformas tradicionais de autenticação de e-mail vendem um painel e pedem que seus engenheiros façam o trabalho. Em ambientes de alto risco, a supervisão manual significa aplicação atrasada, desvios de configuração e domínios ocultos não monitorados.
EmailAuth é a plataforma de origem de e-mail agente. Nossos agentes impõem p=reject, mantenha remetentes terceiros alinhados e mova seus domínios para full RFC 9989 conformidade, o novo padrão DMARC , com auditabilidade humana no circuito.
SaaS · Locação dedicada · Air gap no local · Criptografia BYOK