O DKIM assina cada mensagem que sai do seu domínio, e o servidor que recebe confere a assinatura com uma chave pública publicada no DNS. Esta ferramenta procura essa chave em seletor._domainkey.dominio, analisa o registro e mostra o tipo e o tamanho da chave, o modo de teste, os algoritmos permitidos e os erros. As consultas saem do seu navegador para os resolvedores DNS públicos do Google e da Cloudflare.
Onde encontrar o seletor
O seletor é um rótulo curto escolhido pelo serviço de e-mail: google, selector1, default, k1 e assim por diante. Um domínio pode ter vários, um para cada serviço que envia em nome dele. O jeito mais confiável de achar é olhar uma mensagem real: abra os cabeçalhos de qualquer e-mail enviado do seu domínio e procure a linha DKIM-Signature. A tag s= é o seletor, e d=, o domínio que assina. A ferramenta para analisar cabeçalho de email mostra isso para você.
O botão Encontrar seletor testa nove nomes comuns (google, default, selector1, selector2, k1, mail, dkim, s1, s2). Isso cobre Google Workspace, Microsoft 365, Mailchimp e muitos painéis de hospedagem, mas não todos os serviços: alguns geram seletores aleatórios.
Como ler o resultado
- Chave encontrada: o registro existe e traz uma chave pública na tag
p=. - Tamanho da chave: para RSA, o recomendado são 2048 bits. 1024 bits ainda é aceito, mas é o mínimo; chaves menores podem ser ignoradas.
- Ed25519: uma chave moderna e curta. Nem todo sistema de e-mail verifica, então publique também uma chave RSA.
- p= vazio: a chave foi revogada. É normal durante a troca de chaves, mas o e-mail assinado com esse seletor vai falhar.
- t=y: modo de teste. Remova quando tudo estiver funcionando.
- h= limita os algoritmos de hash. Se só permitir sha1, as assinaturas são consideradas obsoletas.
Erros comuns de DKIM
Chave longa dividida errado. Uma chave RSA de 2048 bits não cabe numa única string TXT de 255 caracteres. Ela precisa ser publicada como várias strings entre aspas dentro do mesmo registro; a maioria dos painéis de DNS faz isso sozinha. Se caracteres se perderam na cópia, a ferramenta avisa que p= não é uma chave válida.
Registro duplicado. Dois registros TXT de DKIM com o mesmo nome deixam a verificação imprevisível. Mantenha só um.
DKIM passa, mas o DMARC falha. O DKIM precisa estar alinhado: o domínio em d= deve ser igual ao do remetente (From) ou um subdomínio dele. Se um serviço de envio assina com o próprio domínio, configure o seu domínio personalizado nesse serviço.
DKIM junto com SPF e DMARC
O DKIM protege o conteúdo da mensagem, o SPF lista os servidores autorizados a enviar pelo seu domínio e o DMARC diz aos destinatários o que fazer com o e-mail que falha. O guia de configuração de SPF, DKIM e DMARC explica os três passo a passo; o registro SPF você monta no gerador de registro SPF, e o modo e-mail de verificar DNS mostra os seus registros SPF e DMARC atuais.
Se o e-mail continua caindo no spam, confira o endereço do seu servidor em IP em blacklist. Na hospedagem de email da RichHost, número e tamanho das caixas postais são ilimitados, os envios saem de IPs limpos e a entrega é monitorada.
Perguntas frequentes
Por que o DKIM não aparece se está configurado?
Quase sempre o seletor é outro. Veja a tag s= no cabeçalho DKIM-Signature de uma mensagem real. Além disso, um registro DNS novo pode levar algumas horas para aparecer por causa do cache.
Quantos registros DKIM um domínio pode ter?
Quantos forem necessários, um por seletor. Cada serviço que envia e-mail pelo seu domínio usa o próprio seletor.
De quanto em quanto tempo trocar a chave DKIM?
Muitas empresas fazem a rotação a cada 6 a 12 meses: publicam um seletor novo, passam a assinar com ele e só depois revogam a chave antiga.
Como gerar um registro DKIM?
Quem cria a chave é quem assina o e-mail: o painel da hospedagem ou o serviço de e-mail. Copie o registro TXT que ele fornecer, publique no DNS e verifique aqui.