Come generare un record DKIM
Non scrivi a mano le chiavi DKIM - il tuo provider di posta genera la coppia di chiavi pubblica/privata quando abiliti DKIM. Pubblichi la chiave pubblica che ti fornisce come record TXT al selettore scelto dal provider, poi verifichi che si risolva.
Questa guida fa parte della nostra guida completa a DKIM. Correlati: il record DKIM e il selettore DKIM.
Non scrivi a mano le chiavi DKIM — il tuo provider di posta genera per te la coppia di chiavi pubblica/privata. Tu poi pubblichi la chiave pubblica nel DNS come record TXT all’host del selettore scelto dal tuo provider, e il provider conserva la chiave privata per firmare la tua posta in uscita. Quell’unico ciclo di pubblicazione e verifica è tutto ciò che “generare un record DKIM” significa realmente.
Perché generi DKIM nel tuo provider, non a mano
DKIM funziona con una coppia abbinata di chiavi crittografiche. La chiave privata resta all’interno della tua piattaforma di invio e firma ogni messaggio in uscita; la chiave pubblica va nel DNS così che i server riceventi possano verificare quella firma. Poiché la chiave privata deve risiedere in modo sicuro all’interno del sistema che invia effettivamente la tua posta, il tuo provider è l’unico posto che può generare correttamente la coppia. Crea entrambe le chiavi, memorizza la metà privata dove il suo motore di firma può raggiungerla e ti consegna la metà pubblica da pubblicare.
Ecco perché non esiste un vero passaggio di “generatore DKIM” che fai da solo. Abilitare DKIM nella tua console esegue la generazione; tu pubblichi solo il risultato. Gli utenti avanzati che gestiscono il proprio server di posta possono generare manualmente una coppia di chiavi con openssl (ad esempio openssl genrsa più un’esportazione della chiave pubblica corrispondente), ma a meno che tu non gestisca il tuo MTA, attieniti al percorso del provider — è più veloce, meno soggetto a errori e mantiene la chiave privata dove deve stare.
Passo dopo passo: generare e pubblicare DKIM
- Abilita DKIM (autenticazione email) nella console del tuo provider. Cerca un’impostazione “DKIM,” “autenticazione email” o “autenticazione del dominio” per il tuo dominio di invio. Attivarla avvia la generazione delle chiavi.
- Leggi l’output: una chiave pubblica più un host selettore. Il provider ti fornisce una chiave pubblica e l’hostname esatto (il selettore, come
s1._domainkey.yourdomain.com) dove deve essere pubblicata. - Pubblica il record TXT nel tuo DNS. Aggiungi un record TXT (o talvolta CNAME) all’host di quel selettore con il valore fornito dal tuo provider. Vedi il record DKIM per il formato esatto, i tag e come è strutturato il valore.
- Verifica con lo strumento di lookup DKIM gratuito. Inserisci il tuo dominio e selettore per confermare che la chiave pubblica è attiva e leggibile nel DNS. Le modifiche DNS possono richiedere un po’ di tempo per propagarsi, quindi ricontrolla se non viene trovata immediatamente.
- Conferma che la posta viene firmata. Invia un messaggio di prova e ispeziona le intestazioni (o la dashboard del tuo provider) per un’intestazione
DKIM-Signaturee un risultatodkim=pass. Questo conferma che la chiave privata sta firmando e la chiave pubblica verifica.
Dove generare DKIM nei provider comuni
| Provider | Dove generare DKIM |
|---|---|
| Google Workspace | Console di amministrazione > App > Google Workspace > Gmail > Autentica email |
| Microsoft 365 | Portale Microsoft Defender > Email e collaborazione > Criteri > Impostazioni di autenticazione email > DKIM |
| ESP (SendGrid, Mailchimp, ecc.) | Fornito automaticamente durante l‘“autenticazione del dominio” — la piattaforma genera le chiavi e ti fornisce i record da pubblicare |
Per Google Workspace e Microsoft 365 generi la chiave, poi pubblichi il record che ti mostrano. Per la maggior parte degli ESP, l’autenticazione del dominio include DKIM (spesso insieme a SPF e a un dominio di tracciamento), quindi aggiungi semplicemente i record che elencano.
Lunghezza della chiave: 1024 vs 2048
Quando il tuo provider offre una scelta, scegli chiavi a 2048 bit. Sono significativamente più robuste di quelle a 1024 bit e sono ormai l’impostazione predefinita consigliata in tutto il settore. L’unica avvertenza è che una chiave pubblica a 2048 bit è più lunga di una a 1024 bit, e alcune interfacce DNS più vecchie hanno difficoltà con i record TXT oltre i 255 caratteri — potrebbero aver bisogno che il valore sia suddiviso in più stringhe tra virgolette. La maggior parte degli host DNS moderni gestisce questo automaticamente. Se il tuo provider offre solo chiavi a 1024 bit, funzionano comunque, ma passa a 2048 bit quando puoi.
Mantienilo in salute
DKIM non è un’operazione da impostare e dimenticare. Ruota le tue chiavi periodicamente — molti provider ora le ruotano automaticamente — così che una singola chiave compromessa non possa essere abusata indefinitamente. E ricorda che DKIM è una gamba di uno stack a tre parti: un record SPF valido, DKIM e DMARC collaborano per dimostrare che la tua posta è legittima. Se una gamba è rotta, la deliverability ne risente.
Sul lato SPF, tieni d’occhio il limite di 10 lookup che fa fallire SPF silenziosamente una volta che il tuo record fa riferimento a troppi servizi. AutoSPF appiattisce e mantiene il tuo record SPF così che resti automaticamente sotto quel limite, permettendoti di mantenere DKIM e DMARC concentrati sul lato della firma e della policy senza che SPF si rompa silenziosamente sotto di essi.
Domande frequenti
Come genero un record DKIM?
Generi un record DKIM abilitando DKIM o l’autenticazione email all’interno della console del tuo provider di posta. Il provider crea la coppia di chiavi e ti fornisce una chiave pubblica più un host selettore. Tu poi pubblichi quella chiave pubblica come record TXT nel tuo DNS e la verifichi, il che completa la configurazione.
Ho bisogno di uno strumento generatore DKIM?
Di solito no. Il tuo provider di posta genera la coppia di chiavi per te quando abiliti DKIM, quindi un generatore autonomo è ridondante e può persino essere rischioso se espone la chiave privata. Solo i server di posta self-hosted necessitano di generazione manuale, tipicamente con openssl. Per tutti gli altri, la console del provider è il percorso corretto e più sicuro.
Quale lunghezza di chiave dovrei usare per DKIM?
Usa chiavi a 2048 bit ogni volta che il tuo provider offre la scelta, poiché sono più robuste di quelle a 1024 bit e sono la raccomandazione attuale del settore. L’unico svantaggio è un valore DNS più lungo che alcune interfacce DNS legacy potrebbero dover suddividere su più stringhe. La maggior parte degli host DNS moderni gestisce i record a 2048 bit senza alcun passaggio aggiuntivo.
Dove metto il record DKIM dopo averlo generato?
Lo pubblichi nel DNS del tuo dominio come record TXT all’host del selettore esatto specificato dal tuo provider, come selector._domainkey.yourdomain.com. Il valore del record è la chiave pubblica fornita dal tuo provider. Dopo averlo aggiunto, verifica con uno strumento di lookup DKIM per confermare che è attivo e leggibile prima di farci affidamento.