Selettore DKIM
Un selettore DKIM è un'etichetta che punta a una specifica chiave pubblica DKIM, consentendo a un dominio di pubblicare diverse chiavi - una per servizio di invio. Forma l'host DNS selector._domainkey.yourdomain.com e appare come tag s= nell'intestazione DKIM-Signature.
Questa guida fa parte della nostra guida completa a DKIM. Correlati: il record DKIM e la firma DKIM.
Un selettore DKIM è una breve etichetta che punta a una specifica chiave pubblica memorizzata nel DNS del tuo dominio, consentendo a un singolo dominio di pubblicare molte chiavi DKIM contemporaneamente — una per ogni servizio di invio o generazione di chiavi — così che i server riceventi sappiano esattamente quale chiave recuperare quando verificano la firma di un dato messaggio.
Come il selettore si inserisce in un lookup DKIM
Ogni email firmata con DKIM porta un selettore all’interno della sua firma. Il server di posta ricevente combina quel selettore con il tuo dominio per costruire un hostname DNS, poi cerca la chiave pubblica memorizzata lì. La convenzione è fissa:
selector._domainkey.yourdomain.comL’etichetta centrale _domainkey è sempre presente — è lo spazio dei nomi che DKIM riserva nel DNS. Il selettore è quello che il servizio di firma ha scelto. Ad esempio, se un messaggio da example.com è firmato con il selettore google, il verificatore interroga:
google._domainkey.example.comQuell’hostname contiene un record TXT contenente la chiave pubblica. Il ricevente la recupera, la usa per controllare la firma crittografica sul messaggio e supera o fallisce DKIM di conseguenza. Poiché il selettore è integrato in ogni firma, lo stesso dominio può gestire diverse chiavi affiancate senza collisioni.
Come trovare il tuo selettore DKIM
Il modo più affidabile per trovare un selettore è leggerlo direttamente da un messaggio che è stato effettivamente firmato dal servizio a cui sei interessato. Apri qualsiasi email ricevuta da quel mittente, visualizza il sorgente grezzo o le intestazioni originali e individua l’intestazione DKIM-Signature. Il tag s= è il selettore:
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
d=example.com; s=google;
h=from:to:subject:date; bh=...; b=...Qui d=example.com è il dominio firmatario e s=google è il selettore, quindi la chiave risiede all’indirizzo google._domainkey.example.com. Un singolo messaggio può portare più di un’intestazione DKIM-Signature — ognuna ha il proprio tag s=, il che è comune quando la posta passa attraverso più servizi di firma.
Se non hai a portata di mano un messaggio firmato, o vuoi confermare cosa è effettivamente pubblicato nel DNS, usa l’auto-discovery del nostro strumento di lookup DKIM gratuito. Sonda i selettori comuni dei provider per il tuo dominio e restituisce le chiavi pubbliche che trova, così puoi verificare la tua configurazione DKIM senza andare a caccia tra le intestazioni grezze.
Selettori comuni per provider
La maggior parte delle piattaforme email usa selettori prevedibili e documentati. Il servizio di firma — non tu — decide il nome del selettore, quindi il valore dipende da chi invia la tua posta:
| Provider | Selettore(i) tipico(i) |
|---|---|
| Google Workspace | google |
| Microsoft 365 | selector1, selector2 |
| SendGrid | s1, s2 |
| Mailchimp | k1 |
| Amazon SES | token generici (una lunga stringa univoca per identità) |
Queste sono convenzioni, non garanzie — un provider può cambiare il proprio schema e alcuni ti permettono di personalizzare il selettore durante la configurazione. In caso di dubbio, leggi il tag s= da un messaggio reale firmato anziché fare supposizioni.
Perché i domini hanno più selettori
È normale, e di solito salutare, che un dominio pubblichi diversi selettori contemporaneamente. Ci sono due motivi principali.
Primo, ogni servizio di invio ottiene il proprio selettore. Se invii posta transazionale tramite Amazon SES, campagne di marketing tramite Mailchimp e posta interna tramite Google Workspace, ogni servizio firma con la propria chiave sotto il proprio selettore. Coesistono nel DNS senza interferire l’uno con l’altro.
Secondo, la rotazione delle chiavi si basa su più selettori. Le chiavi DKIM dovrebbero essere ruotate periodicamente per limitare i danni se una chiave privata viene mai esposta. Durante uno scambio, la vecchia chiave resta attiva sotto il suo selettore esistente mentre la nuova chiave viene pubblicata sotto un nuovo selettore. La posta firmata con l’una o l’altra chiave viene comunque verificata, e una volta che tutta la posta in transito è passata, il vecchio selettore può essere ritirato. Questo è esattamente il motivo per cui Microsoft 365 viene fornito con selector1 e selector2 — può passare tra loro in modo pulito.
Scegliere un selettore quando configuri DKIM
Quando generi una nuova chiave da solo, scegli tu il nome del selettore. Qualsiasi etichetta breve e sicura per il DNS va bene — i team spesso usano qualcosa di descrittivo più una data o una versione, come mail2026 o smtp1, così lo scopo e l’epoca sono ovvi in seguito. Il nome non ha alcun effetto sulla sicurezza; è semplicemente una chiave di lookup. Ciò che conta è che il selettore nel tuo record DNS corrisponda al tag s= che il tuo sistema di firma appone sulla posta in uscita. Per una spiegazione completa, vedi come generare un record DKIM.
Domande frequenti
Cos’è un selettore DKIM?
Un selettore DKIM è un’etichetta di testo che identifica quale chiave pubblica un server ricevente dovrebbe recuperare per verificare un messaggio firmato. Viene combinato con il tuo dominio come selector._domainkey.yourdomain.com per formare il lookup DNS. I selettori consentono a un dominio di pubblicare più chiavi DKIM contemporaneamente, una per servizio o versione della chiave.
Come trovo il mio selettore DKIM?
Apri un messaggio che il servizio ha effettivamente firmato, visualizza il suo sorgente grezzo e leggi il tag s= all’interno dell’intestazione DKIM-Signature — quel valore è il selettore. Se non hai a portata di mano un messaggio firmato, l’auto-discovery del nostro strumento di lookup DKIM gratuito sonda i selettori comuni dei provider per il tuo dominio e segnala quali chiavi sono pubblicate.
Un dominio può avere più selettori DKIM?
Sì, ed è comune. Ogni servizio di invio tipicamente firma con il proprio selettore, quindi un dominio che usa diverse piattaforme di posta pubblicherà diversi selettori contemporaneamente. Più selettori permettono anche una rotazione sicura delle chiavi: la vecchia e la nuova chiave risiedono sotto selettori diversi durante lo scambio, così la posta firmata con l’una o l’altra viene comunque verificata.
Il nome del selettore DKIM ha importanza?
Il nome esatto non ha alcun effetto sulla sicurezza o sulla deliverability — un selettore è solo un’etichetta di lookup. Ciò che conta è che il selettore pubblicato nel tuo record DNS corrisponda al tag s= che il tuo servizio di firma appone sulla posta in uscita. I team spesso aggiungono una data o una versione al nome così il suo scopo e la sua età sono facili da tracciare.