DKIM (DomainKeys Identified Mail): o que é e como configurar

O DKIM é um registo DNS que assina digitalmente os emails enviados a partir do seu domínio, permitindo confirmar a sua autenticidade. Neste artigo explicamos o que é, porque importa e como configurá-lo.

O que é o DKIM

O DKIM (DomainKeys Identified Mail) adiciona uma assinatura digital, criptograficamente verificável, aos emails enviados a partir do seu domínio. Esta assinatura permite que o servidor recetor confirme que o email não foi alterado em trânsito e que foi realmente enviado por um servidor autorizado pelo domínio.

Porque é importante

Sem DKIM, é mais fácil para um atacante forjar emails que aparentam vir do seu domínio, e mais difícil para os servidores de destino distinguir emails legítimos de tentativas de phishing. O DKIM é também um requisito de base para configurar corretamente o DMARC.

Boas práticas

  • Ativar o DKIM em todos os serviços que enviam email em nome do seu domínio.
  • Usar chaves de, pelo menos, 2048 bits para maior segurança.
  • Rodar (renovar) as chaves DKIM periodicamente, especialmente após qualquer suspeita de compromisso.
  • Validar a assinatura DKIM após qualquer alteração no serviço de envio de email.

Como corrigir

  1. Ative o DKIM no seu fornecedor de email (Google Workspace, Microsoft 365, ou o seu servidor de email).
  2. O fornecedor irá gerar um par de chaves e indicar-lhe o registo TXT a adicionar ao DNS, normalmente com um nome do tipo selector._domainkey.exemplo.pt.
  3. Adicione esse registo TXT exatamente como indicado pelo fornecedor.
  4. Confirme a propagação do registo (pode demorar até 24 a 48 horas) e valide através de uma ferramenta de teste de DKIM.

Gerar e rodar chaves DKIM manualmente pode ser trabalhoso – e um erro na configuração pode invalidar a assinatura sem que dê por isso. A maioria dos fornecedores de alojamento genéricos não faz esta gestão por si. Na WebDig Host, tratamos da configuração e renovação do DKIM do seu domínio como parte da gestão de alojamento, com acompanhamento humano sempre que precisar.

Conhecer os serviços de alojamento e gestão de domínios da WebDig Host

Perguntas frequentes sobre o DKIM

O DKIM substitui o SPF?

Não. SPF e DKIM verificam coisas diferentes e complementam-se: o SPF confirma quais os servidores autorizados a enviar email, enquanto o DKIM confirma a integridade e autenticidade da mensagem. O ideal é ter ambos configurados, juntamente com DMARC.

Quanto tempo demora a propagação do DKIM?

Normalmente entre alguns minutos e 48 horas, dependendo do TTL configurado no registo DNS.

Preciso de um selector DKIM diferente para cada serviço de email?

Sim. Se utiliza mais do que um serviço para enviar email (por exemplo, servidor de email principal e uma plataforma de newsletter), cada um terá o seu próprio selector e respetivo registo DKIM.

Verifique agora o DKIM do seu domínio

Com o Secure Check, pode confirmar gratuitamente se o DKIM do seu domínio está corretamente configurado, em poucos segundos.

Analisar o meu domínio gratuitamente com o Secure Check