[Resposta rápida]
Para configurar DKIM , gere uma chave em cada plataforma de envio (ou com um gerador DKIM ), publique a chave pública como um registro TXT ou CNAME em selector._domainkey.yourdomain.com , ative a assinatura na plataforma e confirme se a assinatura passa com uma pesquisa DKIM ou análise de cabeçalho.
Fatos importantes
- ›Seletor padrão Google Workspace : google.
- ›Microsoft 365 usa registros CNAME selector1 e selector2.
- ›Use chaves RSA de 2.048 bits onde seu host DNS permite valores TXT longos.
Revisado pela equipe de pesquisa EmailAuth
A configuração DKIM leva cinco etapas: gerar um par de chaves, publicar a chave pública no DNS em um seletor, ativar a assinatura em sua plataforma de envio, verificar se as assinaturas são aprovadas e alinhadas com seu domínio De e, em seguida, alternar as chaves de acordo com uma programação. A maioria das plataformas de e-mail gera as chaves para você e fornece um registro para colar no DNS , portanto, o trabalho consiste principalmente em cópia e verificação cuidadosas. Assim que DKIM estiver ativo, ele alimentará o alinhamento DMARC junto com SPF .
Antes de começar
Liste todos os serviços que enviam e-mails usando seu domínio: seu provedor de caixa de correio, ferramenta de marketing, suporte técnico, sistema de cobrança e quaisquer outros. Cada um precisa de sua própria chave e seletor DKIM . A falta de um serviço significa que seu e-mail pode falhar DKIM e, depois de aplicar DMARC , cair em spam ou ser devolvido. Uma verificação de domínio ajuda você a encontrar remetentes que você esqueceu.
- 1
1. Gere um par de chaves
Crie uma chave pública e privada, de preferência RSA de 2.048 bits. A maioria das plataformas faz isso para você nas configurações DKIM e mantém a chave privada ao seu lado. Se você se auto-hospedar, gere o par com as ferramentas do seu servidor de e-mail e armazene a chave privada com segurança.
- 2
2. Publique a chave pública no DNS
Adicione um registro TXT em selector._domainkey.yourdomain.com , usando o seletor fornecido pela sua plataforma. O valor é semelhante a v=DKIM1; k=rsa; p=YOUR_PUBLIC_KEY. Se a chave for longa, divida-a em strings entre aspas para que DNS aceite o valor completo.
- 3
3. Habilite a assinatura
Ative a assinatura DKIM em sua plataforma de envio para que cada mensagem enviada receba um cabeçalho DKIM-Signature . Confirme os sinais da plataforma com o seletor e domínio que você publicou.
- 4
4. Verifique assinaturas e alinhamento
Envie uma mensagem de teste para uma caixa de correio que você controla e verifique os cabeçalhos para obter uma aprovação DKIM . Confirme se o domínio d= corresponde ao seu domínio From para que DKIM esteja alinhado ao DMARC . Um verificador ou varredura de domínio confirma a força e o alinhamento em uma única olhada.
- 5
5. Gire as chaves de acordo com uma programação
Planeje substituir as chaves a cada seis a doze meses. Publique um novo seletor, mude a assinatura para ele, verifique se ele foi aprovado e remova o registro antigo quando nenhum email o utilizar.
Exemplo de registro
s1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ..." dividido entre strings entre aspas se o seu DNS limitar o comprimento do registro.
Erros comuns de configuração
- Colando a chave com quebras de linha ou espaços que corrompem o valor.
- Publicando com o nome do seletor errado, então o registro parece estar faltando.
- Usando uma chave de 1.024 bits quando 2.048 bits estiver disponível.
- Esquecendo um serviço de envio, seu e-mail fica sem assinatura.
- Habilitando a assinatura, mas nunca verificando se o domínio está alinhado com From para DMARC .
Verifique e aplique
Depois que DKIM for aprovado e alinhado, mova DMARC para a aplicação. Comece em p=none para assistir aos relatórios, confirme a autenticação de todos os seus remetentes e, em seguida, avance para p=quarantine e p=reject. O Google e Yahoo exigem que os remetentes em massa sejam autenticados desde 2024, portanto, uma configuração DKIM verificada faz parte do acesso à caixa de entrada. EmailAuth monitora seus seletores após a configuração, sinaliza chaves fracas ou obsoletas e confirma que DKIM permanece alinhado conforme você adiciona novos remetentes.
Perguntas frequentes
Quanto tempo DKIM leva para funcionar depois de publicar o registro?
O registro DNS precisa ser propagado, o que geralmente leva alguns minutos, mas pode levar até um dia, dependendo do seu provedor e do TTL. Assim que a chave pública estiver visível no DNS e a assinatura estiver habilitada, os destinatários poderão verificar seu e-mail. Envie uma mensagem de teste e verifique os cabeçalhos para confirmar se ela foi aprovada.
Posso usar uma chave DKIM para todas as minhas ferramentas de envio?
É mais limpo dar a cada serviço seu próprio seletor e chave, porque a chave privada permanece nessa plataforma. Compartilhar uma chave entre ferramentas não é prático, pois cada plataforma possui sua própria chave privada. Usar um seletor por serviço também facilita a rotação e a solução de problemas.
Qual comprimento de chave devo usar para DKIM ?
Use RSA de 2.048 bits onde seu provedor DNS e plataforma o suportarem. É mais forte que o antigo padrão de 1024 bits, que alguns receptores agora desencorajam. Se uma chave longa não couber em uma string TXT , divida-a em várias strings entre aspas.
Ainda preciso SPF e DMARC se DKIM estiver configurado?
Sim. DKIM prova que a mensagem foi assinada e inalterada, mas DMARC vincula a autenticação ao seu domínio De visível e informa aos destinatários o que fazer com as falhas. SPF fornece um segundo caminho de alinhamento. Todos os três juntos são o que o Google e Yahoo esperam dos remetentes em massa.
Como configuro DKIM ?
Ative o DKIM na sua plataforma de e-mail, copie o registro DNS que ele mostra, publique-o, aguarde a propagação DNS e clique em verificar ou começar a assinar.
Quanto tempo DKIM leva para funcionar?
Geralmente de minutos a algumas horas, dependendo da propagação DNS e do TTL do seu provedor.
[ DKIM guia ]
Proveniência da empresa
Por que as principais instituições financeiras e governos retiraram seus painéis de segurança de e-mail.
As plataformas tradicionais de autenticação de e-mail vendem um painel e pedem que seus engenheiros façam o trabalho. Em ambientes de alto risco, a supervisão manual significa aplicação atrasada, desvios de configuração e domínios ocultos não monitorados.
EmailAuth é a plataforma de origem de e-mail agente. Nossos agentes impõem p=reject, mantenha remetentes terceiros alinhados e mova seus domínios para full RFC 9989 conformidade, o novo padrão DMARC , com auditabilidade humana no circuito.
SaaS · Locação dedicada · Air gap no local · Criptografia BYOK