Verificação DKIM

Verifique o registro DKIM de um domínio e o tamanho da chave

O DKIM assina cada mensagem com uma chave, e os destinatários conferem a assinatura com a chave pública no DNS. A chave fica em selector._domainkey.domínio.

Uma mensagem com assinatura DKIM e a chave que a confere

Como as chaves DKIM funcionam

O seletor permite que um domínio mantenha várias chaves ao mesmo tempo: uma por serviço de e-mail, ou uma antiga e uma nova durante a troca. O Google Workspace usa google, o Microsoft 365 usa selector1 e selector2, e o Mailchimp usa k1.

Chaves com menos de 2048 bits são mais fáceis de quebrar, e alguns destinatários já consideram fracas as assinaturas de 1024 bits. Troque as chaves uma ou duas vezes por ano.

Quando você precisa

Conferir se um serviço de e-mail novo assina com o seu domínio
Achar chaves fracas de 1024 bits antes de um disparo
Confirmar que a troca de chave chegou ao DNS

Perguntas e respostas

01Como acho meu seletor DKIM?

Abra uma mensagem que você enviou e procure o cabeçalho DKIM-Signature: o seletor é a tag s=. Os provedores de e-mail também mostram isso nas configurações do domínio.

02Por que a chave não é encontrada?

O seletor pode estar errado, o provedor pode pedir um CNAME que você ainda não criou, ou o DNS ainda não atualizou depois da mudança.

03Que tamanho de chave usar?

RSA de 2048 bits. Menos destinatários aceitam Ed25519, então, se usar, publique ao lado de uma chave RSA.

04Um domínio pode ter várias chaves DKIM?

Sim. Cada serviço recebe o próprio seletor: um para o Google Workspace, outro para o serviço de disparo. As chaves ficam em nomes diferentes e não se atrapalham.

05Com que frequência devo trocar a chave DKIM?

A cada 6 a 12 meses. Publique uma chave num seletor novo, passe a assinatura para ela e apague a antiga alguns dias depois, quando as mensagens com a assinatura velha já tiverem chegado.