Record DKIM
Un record DKIM è un record DNS TXT pubblicato all'indirizzo selector._domainkey.yourdomain.com che contiene la chiave pubblica che i destinatari usano per verificare le tue firme DKIM. I suoi tag includono v (versione), k (tipo di chiave) e p (la chiave pubblica) - un p= vuoto significa che la chiave è revocata.
Questa guida fa parte della nostra guida completa a DKIM. Correlati: il selettore DKIM e la firma DKIM.
Un record DKIM è un record TXT formattato in modo specifico e pubblicato nel DNS del tuo dominio che contiene la chiave pubblica che i server di posta riceventi usano per verificare la firma DKIM di un messaggio. Conferma che il messaggio è stato autorizzato dal tuo dominio e non è stato alterato durante il transito.
Che aspetto ha un record DKIM
Un record DKIM è un’unica stringa di coppie tag=value separate da punti e virgola. La maggior parte di esso è la chiave pubblica, ed è per questo che i record DKIM sono molto più lunghi dei record SPF o DMARC. Un record tipico ha questo aspetto:
v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ...Poiché i record DNS TXT hanno un limite di 255 caratteri per stringa, la maggior parte dei provider suddivide il lungo valore p= in più blocchi tra virgolette che il software DNS concatena automaticamente. Quando visualizzi il record in uno strumento di lookup viene riassemblato in un’unica stringa continua. L’ordine dei tag non ha importanza e gli spazi bianchi attorno ai punti e virgola vengono ignorati.
I tag in un record DKIM
Ogni tag controlla un aspetto di come viene usata la chiave. In pratica solo p= è strettamente richiesto, ma v= e k= sono quasi sempre presenti.
| Tag | Nome | Significato |
|---|---|---|
v | Versione | La versione DKIM. Deve essere DKIM1 e, quando presente, deve venire per prima. |
k | Tipo di chiave | L’algoritmo della chiave pubblica. rsa è lo standard; ed25519 è un’alternativa più recente e più corta. |
p | Chiave pubblica | La chiave pubblica stessa, codificata in base64. Un p= vuoto significa che la chiave è stata revocata e qualsiasi firma che usa questo selettore fallirà. |
t | Flag | Flag opzionali. t=y contrassegna il dominio come in test (i verificatori non dovrebbero trattare i fallimenti in modo severo); t=s vieta l’uso dei sottodomini. |
h | Algoritmi di hash | Gli algoritmi di hash di firma consentiti, come sha256. Limita quali hash i verificatori accetteranno. |
s | Tipo di servizio | Il servizio per cui la chiave è valida. email limita la chiave alle email; * (predefinito) consente tutti i servizi. |
Dove risiede un record DKIM
Un record DKIM non viene pubblicato sul tuo dominio radice. Risiede invece su un sottodominio costruito a partire da un selettore più l’etichetta fissa _domainkey:
selector._domainkey.yourdomain.comIl selettore è un’etichetta scelta dal tuo provider di posta e determina l’host esatto in cui è memorizzato il record. Ad esempio, se Google Workspace firma la tua posta con il selettore google, il record viene pubblicato come record TXT all’indirizzo google._domainkey.yourdomain.com. Un dominio può avere molti selettori contemporaneamente, uno per ogni chiave o servizio di invio, quindi un singolo dominio spesso contiene diversi record DKIM affiancati.
Come trovare e controllare il tuo record DKIM
La sfida con DKIM è che non puoi cercare il record a meno che tu non conosca già il selettore, e il DNS non ti offre alcun modo per elencare ogni selettore su un dominio. Il modo affidabile per trovarlo è leggere un messaggio reale inviato dal tuo dominio.
Apri le intestazioni grezze di quel messaggio e individua l’intestazione DKIM-Signature. Il tag s= al suo interno è il selettore e il tag d= è il dominio firmatario. Combinali come s._domainkey.d per ottenere l’host esatto da interrogare. Ad esempio, s=selector1; d=yourdomain.com significa che il record risiede all’indirizzo selector1._domainkey.yourdomain.com.
Una volta che hai l’host, interrogalo come record TXT con dig, nslookup o un checker basato su browser. Il nostro strumento di lookup DKIM gratuito rende tutto ancora più facile: esegue una scansione automatica di decine di selettori comuni usati da Google, Microsoft, Amazon SES, Mailchimp e altri provider importanti, così spesso puoi trovare e convalidare il tuo record senza scavare tra le intestazioni. Segnala anche un valore p= vuoto o malformato che causerebbe il fallimento della verifica.
Come aggiungere un record DKIM
Aggiungere DKIM è un processo in tre passaggi gestito principalmente attraverso il tuo provider di posta:
-
Genera la coppia di chiavi. Nella tua piattaforma di invio (Google Workspace, Microsoft 365, il tuo ESP o il tuo server di posta), abilita DKIM e lascia che generi una coppia di chiavi pubblica/privata. Il provider conserva la chiave privata e ti fornisce la chiave pubblica formattata come record DKIM. Vedi come generare un record DKIM per i passaggi esatti per ciascun provider.
-
Pubblica il record TXT. Nel tuo host DNS, crea un record TXT all’host
selector._domainkey.yourdomain.comspecificato dal provider e incolla il valore che ti ha fornito. -
Verifica. Attendi che il DNS si propaghi, poi usa uno strumento di lookup per confermare che il record si risolve e la chiave pubblica è intatta. Invia un messaggio di prova e controlla che la
DKIM-Signaturesuperi i controlli sul lato ricevente.
Domande frequenti
Cos’è un record DKIM?
Un record DKIM è un record TXT nel DNS del tuo dominio che memorizza la chiave pubblica usata per verificare le firme DKIM sulle tue email in uscita. I server riceventi lo recuperano per confermare che un messaggio è stato autorizzato dal tuo dominio e non è stato modificato durante il transito, il che rafforza la deliverability e protegge dalla falsificazione.
Cosa significa il tag p= in un record DKIM?
Il tag p= contiene la chiave pubblica codificata in base64 che i verificatori usano per controllare la firma crittografica del messaggio. È la parte essenziale del record. Se p= è presente ma vuoto, segnala che la chiave è stata revocata e qualsiasi messaggio firmato con quel selettore fallirà la verifica DKIM.
Dove viene memorizzato un record DKIM?
Un record DKIM viene memorizzato come record TXT su un host DNS speciale formato dal selettore e dall’etichetta _domainkey, nella forma selector._domainkey.yourdomain.com. Il selettore, scelto dal tuo provider di posta, determina l’host esatto, motivo per cui un dominio può contenere diversi record DKIM su selettori diversi.
Quanti record DKIM può avere un dominio?
Un dominio può avere tanti record DKIM quanti sono i suoi selettori, e non esiste un limite fisso. Ogni servizio di invio o rotazione delle chiavi usa tipicamente il proprio selettore, quindi un dominio che invia attraverso diverse piattaforme pubblicherà un record DKIM separato per ciascuna, tutti coesistenti su host _domainkey diversi.