Consulta de DKIM: examine o seu registro DKIM
O DKIM permite que um servidor de envio assine cada mensagem com uma chave privada, e os receptores verificam a assinatura com uma chave pública publicada no DNS. Digite seu domínio e o seletor que seu provedor de e-mail usa para buscar essa chave e veja o tamanho, o formato e por que as assinaturas podem estar falhando.
Como encontrar o seu seletor DKIM
Um domínio pode ter várias chaves DKIM ao mesmo tempo, para serviços diferentes ou para rotação de chaves, e o seletor é o rótulo que indica qual usar. Cada chave fica em selector._domainkey.seudominio.com, então google._domainkey e s1._domainkey podem coexistir.
A forma mais rápida de achar o seu: envie uma mensagem para si mesmo, abra os cabeçalhos completos e procure a linha DKIM-Signature. O valor s= é o seletor e d= é o domínio que assinou.
Não sabe como é um resultado? Os botões de exemplo acima mostram uma chave saudável de 2048 bits (yahoo.com com s2048), uma chave de 1024 bits que dispara o aviso de chave fraca (yahoo.com com s1024) e uma chave revogada (gmail.com com 20230601).
Seletores que alguns provedores usam por padrão
Eles variam conforme o provedor e a forma como a conta foi configurada, então use-os como ponto de partida e confirme com o seu provedor.
| Provedor | Seletores comuns |
|---|---|
| Google Workspace | google (e um nome baseado em data para chaves mais novas) |
| Microsoft 365 | selector1 e selector2 |
| SendGrid | s1 e s2 |
| Mailchimp | k1, k2 e k3 |
| Muitos painéis de controle e hospedagens | default |
Como ler um registro DKIM
| Tag | Significado |
|---|---|
| v=DKIM1 | A versão. Opcional, mas deve ser DKIM1 se estiver presente |
| k | Tipo de chave: rsa (o padrão) ou ed25519 |
| p | A chave pública, em base64. Um valor vazio significa que a chave foi revogada |
| t=y | Modo de teste: os receptores podem ser tolerantes com falhas |
| t=s | Estrito: o domínio de assinatura deve corresponder exatamente ao domínio do From |
| s | Para quais serviços a chave pode ser usada: email ou * |
Tamanho da chave, divisão e rotação
- Use uma chave RSA de 2048 bits. Chaves de 1024 bits ainda são verificadas, mas não são mais recomendadas, e qualquer coisa menor é insegura.
- Uma chave de 2048 bits é mais longa que os 255 caracteres que uma string de DNS comporta, então ela é publicada como várias strings entre aspas dentro de um único registro TXT. A maioria dos painéis de DNS faz isso por você. Se a chave for truncada em vez disso, ela não poderá ser lida.
- Faça a rotação das chaves de tempos em tempos. Publique primeiro um novo seletor, configure seu provedor de e-mail para assinar com ele e deixe o seletor antigo no lugar até que os e-mails que já estavam em trânsito sejam entregues.
- Para aposentar uma chave, publique o registro com p= vazio, para que as assinaturas feitas com ela falhem de forma limpa em vez de o registro simplesmente sumir.