O que é DKIM
DKIM é um padrão que assina a mensagem de email com uma chave privada e publica a chave pública no DNS. O servidor que recebe confere a assinatura e sabe se a mensagem foi alterada no caminho.
A assinatura cobre campos do cabeçalho e um resumo do corpo. O resultado não diz se o remetente é confiável, e sim que a mensagem assinada por aquele domínio chegou intacta.
A chave, o seletor e o registro
O domínio mantém uma chave privada no provedor de email e publica a pública em um TXT com o seletor no nome. O seletor permite ter mais de uma chave ativa ao mesmo tempo, o que torna a troca previsível.
A mensagem leva o seletor e a assinatura no cabeçalho DKIM-Signature. O servidor de destino monta o nome do registro com o seletor e o domínio, busca a chave e valida o resumo.
Rotação e limites
Trocar a chave exige publicar a nova, assinar com ela e manter a antiga disponível até as mensagens em trânsito serem entregues. Sem esse cuidado, a troca produz falha em mensagens legítimas.
O DKIM não decide destino, não impede spoofing sozinho e depende do alinhamento com o domínio do remetente para valer no DMARC. A entregabilidade depende de uma assinatura estável, e não de uma que muda a cada envio.
Como conferir
Confira o cabeçalho da mensagem recebida e veja o resultado da verificação, o domínio assinado e o seletor usado. No DNS, confirme se a chave pública corresponde ao seletor e se o registro está publicado no domínio correto.
Para revisar a assinatura e o envio do domínio, o Desenvolvimento Colaborativo da Dev Side Studio permite conferir a configuração durante a sessão.
Dúvidas frequentes
Perguntas frequentes sobre DKIM
- DKIM substitui o SPF?
- Não. O [SPF](/glossario/spf/) verifica a máquina que enviou e o DKIM verifica a integridade da mensagem. Os dois cobrem falhas diferentes e costumam trabalhar junto com o [DMARC](/glossario/dmarc/).
- O que é o seletor do DKIM?
- É o nome que identifica qual chave foi usada. A chave pública fica em um registro DNS com o seletor no início do nome, e a mensagem traz o mesmo seletor no cabeçalho `DKIM-Signature`.
- Por que a assinatura quebra depois de um encaminhamento?
- Porque o encaminhador pode alterar cabeçalhos ou o corpo da mensagem, e a assinatura cobre exatamente os campos assinados. O DKIM resiste melhor que o SPF, mas não é imune a mudanças feitas no caminho.
- Com que frequência a chave deve ser trocada?
- Não há um prazo único. Uma troca planejada permite revogar uma chave exposta sem perder o histórico, e a chave antiga pode ficar publicada por um período para validar mensagens em trânsito.
Para continuar
Recursos relacionados
Documentação
RFC 6376: DKIM
Especifica a assinatura, os campos cobertos e a publicação da chave no DNS.
Abrir recursoDocumentação
Cloudflare: registros DNS
Mostra como publicar o TXT com a chave pública do DKIM.
Abrir recursoAplicação na formação
Formação DevOps
Na Formação DevOps, o DKIM aparece na configuração do provedor de email e na conferência da assinatura do domínio.
Conhecer a formação
Fontes consultadas
Referências deste verbete
Este verbete ajudou você?
Obrigado pela resposta. Ela fica salva apenas neste navegador.