Verifica DKIM: controlla il tuo record DKIM
DKIM permette a un server di invio di firmare ogni messaggio con una chiave privata, e i destinatari controllano la firma con una chiave pubblica pubblicata nel DNS. Inserisci il tuo dominio e il selettore usato dal tuo provider di posta per recuperare quella chiave, poi guarda dimensione, formato e perché le firme potrebbero fallire.
Come trovare il tuo selettore DKIM
Un dominio può avere molte chiavi DKIM contemporaneamente, per servizi diversi o per la rotazione delle chiavi, e il selettore è l’etichetta che indica quale usare. Ogni chiave si trova a selector._domainkey.tuodominio.com, quindi google._domainkey e s1._domainkey possono coesistere.
Il modo più rapido per trovare il tuo: invia un messaggio a te stesso, apri le intestazioni complete e guarda la riga DKIM-Signature. Il valore s= è il selettore e d= è il dominio che ha firmato.
Non sai che aspetto abbia un risultato? I pulsanti di esempio qui sopra mostrano una chiave a 2048 bit corretta (yahoo.com con s2048), una chiave a 1024 bit che attiva l’avviso di chiave debole (yahoo.com con s1024) e una chiave revocata (gmail.com con 20230601).
Selettori usati da alcuni provider per impostazione predefinita
Variano in base al provider e a come è stato configurato un account, quindi consideralo un punto di partenza e conferma con il tuo provider.
| Provider | Selettori comuni |
|---|---|
| Google Workspace | google (e un nome basato sulla data per le chiavi più recenti) |
| Microsoft 365 | selector1 e selector2 |
| SendGrid | s1 e s2 |
| Mailchimp | k1, k2 e k3 |
| Molti pannelli di controllo e host | default |
Come leggere un record DKIM
| Tag | Significato |
|---|---|
| v=DKIM1 | La versione. Facoltativa, ma se presente deve essere DKIM1 |
| k | Tipo di chiave: rsa (il valore predefinito) o ed25519 |
| p | La chiave pubblica, in base64. Un valore vuoto significa che la chiave è revocata |
| t=y | Modalità di test: i destinatari possono essere indulgenti con gli errori |
| t=s | Modalità rigida: il dominio di firma deve coincidere esattamente con il dominio del mittente (From) |
| s | Per quali servizi si può usare la chiave: email oppure * |
Dimensione della chiave, suddivisione e rotazione
- Usa una chiave RSA a 2048 bit. Le chiavi a 1024 bit vengono ancora verificate ma non sono più raccomandate, e qualsiasi chiave più corta non è sicura.
- Una chiave a 2048 bit è più lunga dei 255 caratteri che può contenere una stringa DNS, quindi viene pubblicata come più stringhe tra virgolette all’interno di un unico record TXT. La maggior parte delle dashboard DNS lo fa per te. Se invece una chiave viene troncata, non può essere letta.
- Ruota le chiavi di tanto in tanto. Pubblica prima un nuovo selettore, imposta il tuo provider di posta in modo che firmi con esso e lascia il vecchio selettore finché la posta già in transito non è stata consegnata.
- Per ritirare una chiave, pubblica il record con p= vuoto, così le firme create con essa falliscono in modo pulito invece di far sparire il record.