netlupaVerificar a chave DKIM de um domínio
O DKIM assina cada e-mail para que o destinatário confira que ninguém mais o enviou. Digite o domínio e, se souber, o seletor.
Como o DKIM funciona
O servidor que envia o e-mail o assina com uma chave privada e adiciona o cabeçalho DKIM-Signature. O destinatário lê nesse cabeçalho o domínio (d=) e o seletor (s=), consulta o registro TXT seletor._domainkey.dominio e confere a assinatura com a chave pública que encontra ali.
O seletor permite ter várias chaves ao mesmo tempo: uma por provedor ou uma nova quando você troca a antiga. Por isso não dá para listar todas as chaves de um domínio: é preciso saber o seletor. Se você não informar, a ferramenta testa os dos provedores mais comuns.
A chave deve ser RSA de pelo menos 1024 bits (o recomendado é 2048) ou Ed25519. Uma chave vazia (p=) significa que o seletor foi revogado.
Cada registro em detalhe
Perguntas frequentes
De quanto em quanto tempo devo trocar a chave DKIM?
O recomendado é trocar pelo menos uma vez por ano: publique primeiro a nova com outro seletor, mude a assinatura e retire a antiga alguns dias depois.
Por que minha chave de 2048 bits não cabe no DNS?
Uma string TXT aceita no máximo 255 caracteres, mas um registro pode ter várias strings seguidas. Os painéis de DNS modernos dividem sozinhos; se o seu não fizer isso, divida a chave em pedaços entre aspas.
Qual é o meu seletor DKIM?
Abra um e-mail que você enviou, veja o código-fonte ou os cabeçalhos originais e procure DKIM-Signature: o valor de “s=” é o seletor e o de “d=” é o domínio. O Google Workspace costuma usar “google” e o Microsoft 365 “selector1” e “selector2”.
É melhor “~all” ou “-all”?
Com DMARC funcionando, a diferença prática é pequena, porque quem decide é a política DMARC. “-all” é mais rigoroso; “~all” é mais tolerante com encaminhamentos e serviços esquecidos. Sem DMARC, “-all” protege mais.
Mudei o DNS e a ferramenta não vê a mudança. Por quê?
Os registros DNS ficam em cache pelo tempo do TTL (muitas vezes uma hora). Espere esse tempo e confira de novo. Confira também se o registro está no nome certo (por exemplo, _dmarc.seudominio.com.br para o DMARC).
Preciso de SPF e DMARC em um domínio que não envia e-mail?
Sim, e é muito recomendável: publique “v=spf1 -all” e “v=DMARC1; p=reject;” para que ninguém use esse domínio para enviar e-mails falsos.
Vocês guardam os domínios que eu verifico?
Não. Consultamos o DNS público na hora, com nosso próprio resolvedor, e não guardamos nem o domínio nem o resultado.