netlupaVerificare la chiave DKIM di un dominio
DKIM firma ogni e-mail perché il destinatario verifichi che non l'ha inviata nessun altro. Inserisci il dominio e, se lo conosci, il suo selettore.
Come funziona DKIM
Il server che invia la posta la firma con una chiave privata e aggiunge l'intestazione DKIM-Signature. Il destinatario legge in quell'intestazione il dominio (d=) e il selettore (s=), consulta il record TXT selettore._domainkey.dominio e verifica la firma con la chiave pubblica che trova lì.
Il selettore permette di avere più chiavi contemporaneamente: una per provider, o una nuova quando sostituisci la vecchia. Per questo non è possibile elencare tutte le chiavi di un dominio: bisogna conoscere il selettore. Se non lo indichi, lo strumento prova quelli dei provider più comuni.
La chiave deve essere RSA da almeno 1024 bit (consigliati 2048) o Ed25519. Una chiave vuota (p=) significa che il selettore è stato revocato.
Ogni record nel dettaglio
Domande frequenti
Ogni quanto devo cambiare la chiave DKIM?
Si consiglia di sostituirla almeno una volta l'anno: pubblica prima la nuova con un altro selettore, passa la firma alla nuova e ritira la vecchia qualche giorno dopo.
Perché la mia chiave da 2048 bit non entra nel DNS?
Una stringa TXT contiene al massimo 255 caratteri, ma un record può contenere più stringhe di seguito. I pannelli DNS moderni le dividono da soli; se il tuo non lo fa, spezza la chiave in parti tra virgolette.
Qual è il mio selettore DKIM?
Apri un'e-mail che hai inviato, guarda il sorgente o le intestazioni originali e cerca DKIM-Signature: il valore di «s=» è il selettore e quello di «d=» il dominio. Google Workspace di solito usa «google» e Microsoft 365 «selector1» e «selector2».
È meglio «~all» o «-all»?
Con DMARC attivo la differenza pratica è piccola, perché decide la policy DMARC. «-all» è più rigoroso; «~all» è più tollerante con gli inoltri e i servizi dimenticati. Senza DMARC, «-all» protegge di più.
Ho modificato il DNS e lo strumento non lo vede, perché?
I record DNS restano in cache per il tempo indicato dal loro TTL (spesso un'ora). Aspetta quel tempo e ricontrolla. Verifica anche che il record sia sul nome giusto (per esempio _dmarc.tuodominio.it per DMARC).
Servono SPF e DMARC su un dominio che non invia posta?
Sì, ed è molto consigliato: pubblica «v=spf1 -all» e «v=DMARC1; p=reject;» così nessuno potrà usare quel dominio per inviare e-mail false.
Salvate i domini che verifico?
No. Interroghiamo il DNS pubblico al momento, con il nostro resolver, e non salviamo né il dominio né il risultato.