Se cerchi un generatore di chiavi DKIM, forse il tuo dominio non firma ancora i messaggi oppure le firme non vengono convalidate. La posta non autenticata può subire più filtri. Un errore DKIM può influire su DMARC, ma un risultato SPF valido e allineato può ancora consentirne il superamento. Reimpostazioni delle password, fatture e messaggi commerciali potrebbero finire nello spam o in quarantena.
La configurazione è spesso più semplice di quanto sembri. Un generatore di chiavi DKIM crea una chiave privata per il sistema di invio e la chiave pubblica corrispondente da pubblicare nel DNS. Il destinatario verifica la firma del dominio firmatario e l'integrità delle parti firmate secondo la canonicalizzazione applicata. Questo, da solo, non dimostra l'identità del mittente visibile.
Se stai ancora preparando l'infrastruttura, inizia dalla guida alla posta aziendale. Se usi già il tuo dominio, qui scoprirai cosa deve produrre un generatore di chiavi DKIM, quale dimensione scegliere, come funzionano i selettori e come pubblicare il record riducendo i rischi di configurazione.
Cosa fa realmente un generatore di chiavi DKIM
Un generatore di chiavi DKIM crea una coppia di chiavi crittografiche. La privata rimane sul sistema di invio e firma i messaggi in uscita. La pubblica viene inserita nel DNS sotto un selettore, così i destinatari possono verificare la firma DKIM nelle intestazioni.
Non c'è nulla di misterioso. Un buon generatore di chiavi DKIM svolge tre compiti:
- Crea una chiave privata compatibile con il sistema di invio.
- Estrae la chiave pubblica corrispondente.
- Formatta la chiave pubblica come record TXT da pubblicare sotto
selector._domainkey.example.com.
La difficoltà non è il calcolo crittografico, ma coordinare selettore, nome DNS, interruzioni di riga e configurazione del mittente per convalidare la firma in produzione.
La RFC 6376 prevede selettori per pubblicare più chiavi e organizzarne la rotazione. Secondo la RFC 8301, i firmatari devono usare chiavi RSA di almeno 1024 bit; quelle da 2048 bit sono generalmente una scelta più adeguata. Se un generatore di chiavi DKIM consiglia ancora 512 bit o SHA-1, scegli un altro strumento.
Il risultato da ottenere
Un generatore di chiavi DKIM deve fornire una chiave privata per firmare e un record di chiave pubblica adatto al DNS. Il record si trova sotto il nome del selettore, non alla radice del dominio, e contiene la chiave pubblica nel tag p=.
Ecco il formato generale:
Host: tm2026._domainkey.example.com
Type: TXT
Value: v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A...Puoi anche creare la coppia localmente con OpenSSL, anziché affidare una chiave privata a un generatore di chiavi DKIM online. Attenzione all'ultimo comando: mostra materiale privato e il suo output non va condiviso.
openssl genrsa -out dkim-private.pem 2048
openssl rsa -in dkim-private.pem -pubout -out dkim-public.pem
openssl rsa -in dkim-private.pem -text -nooutConverti quindi la chiave pubblica nel valore su una sola riga accettato dalla maggior parte dei pannelli DNS:
awk 'NF {sub(/\r/, ""); printf "%s",$0;}' dkim-public.pem \
| sed 's/-----BEGIN PUBLIC KEY-----//; s/-----END PUBLIC KEY-----//g'Suddividere un TXT lungo in segmenti tra virgolette può essere corretto, purché appartengano allo stesso record. Inserire spazi all'interno della chiave può invece invalidarla e complicare la diagnosi.
Il selettore è l'etichetta della chiave, non la chiave stessa. Se la firma riporta
s=tm2026, il destinatario interrogatm2026._domainkey.yourdomain.com. Senza quel record, la firma DKIM non può essere convalidata.
Scegliere selettore e dimensione della chiave
Scegli un generatore di chiavi DKIM che produca una chiave da 2048 bit e consenta selettori utili per la rotazione. Il sistema di invio deve essere configurato per firmare con RSA e SHA-256: generare la chiave non seleziona automaticamente l'algoritmo. Considera i selettori come etichette operative di versione.
Usa nomi che indichino dove e quando serve la chiave. Per esempio:
tm2026app1q1marketing2026
Esempi meno pratici:
defaultmantenuto per sempretestin produzionedkimriutilizzato per tutti i mittenti
| Scelta | Usarla? | Motivo |
|---|---|---|
| RSA da 1024 bit | Solo se necessario | È il minimo accettato in alcuni ambienti, non l'obiettivo consigliato. |
| RSA da 2048 bit | Sì | Una scelta comune per molti domini e fornitori DNS attuali. |
| Un solo selettore permanente | Da evitare | Complica la rotazione e la risposta agli incidenti. |
| Selettori con versione | Sì | Consentono di pubblicare la nuova chiave prima di ritirare la vecchia. |
La RFC 8301 richiede almeno 1024 bit e raccomanda 2048 bit. Le indicazioni di Google per i mittenti di grandi volumi richiedono DKIM e SPF, con almeno uno allineato al dominio From per la posta diretta agli account Gmail personali. Consulta le domande frequenti sulle linee guida per i mittenti per i requisiti applicabili.
Quando scegli un generatore di chiavi DKIM, verifica che faciliti chiavi da 2048 bit, nomi di selettore chiari e rotazione. Sono criteri più utili della sola capacità di generare una chiave.
Pubblicare il record DNS con meno rischi
Un generatore di chiavi DKIM copre solo parte del lavoro. Pubblica il TXT nel nome esatto usato dal mittente, considera le cache DNS e attiva la firma dopo aver verificato che la chiave pubblica sia disponibile.
Questi errori sono frequenti:
- Pubblicare il TXT sotto
@invece diselector._domainkey. - Incollare i delimitatori PEM nel DNS invece della sola chiave base64.
- Attivare la firma prima che il DNS risponda correttamente.
- Configurare un selettore diverso nella piattaforma di posta.
Per un dominio TrekMail, segui i record indicati dal flusso DNS per la modalità di invio scelta. La documentazione Aggiungere un dominio spiega il valore TXT DKIM. Con SMTP proprio, selettore e chiave devono provenire dal fornitore che invia effettivamente i messaggi. Salva i record e avvia la verifica disponibile; se restano problemi, consulta il controllo dello stato DNS.
Nell'inoltro, un errore SPF non impedisce necessariamente il superamento di DMARC se DKIM passa ed è allineato. DKIM può restare valido se i dati firmati non cambiano. SPF può invece fallire perché cambia il server di invio. La guida per inoltrare la posta del dominio a Gmail illustra questo caso.
Verificare che la chiave DKIM funzioni davvero
Dopo aver usato un generatore di chiavi DKIM e pubblicato il record, esamina intestazioni reali. Una risposta DNS corretta non dimostra che il mittente firmi. Cerca dkim=pass e verifica l'allineamento di dominio necessario a DMARC nei messaggi effettivamente inviati.
Invia un messaggio a Gmail e visualizza le intestazioni originali. Un possibile risultato è:
Authentication-Results: mx.google.com;
dkim=pass header.i=@example.com header.s=tm2026 header.b=...
spf=pass smtp.mailfrom=example.com
dmarc=pass header.from=example.comSe DKIM fallisce, procedi in quest'ordine:
- Controlla il selettore
s=nell'intestazione DKIM-Signature. - Interroga quel nome DNS esatto con
dig. - Verifica che la chiave pubblica DNS corrisponda alla privata caricata sul mittente.
- Controlla il dominio di firma configurato in
d=. - Verifica se una mailing list, un piè di pagina aggiunto o un relay ha modificato intestazioni o corpo firmati.
dig +short TXT tm2026._domainkey.example.comUn generatore di chiavi DKIM che omette nome DNS, verifica o allineamento lascia incompleta la configurazione. Anche con una chiave pubblicata, DKIM non fornisce allineamento a DMARC se il dominio d= non è allineato al From visibile: la modalità rilassata accetta un dominio organizzativo comune, mentre quella rigorosa richiede una corrispondenza esatta.
Per una diagnosi più ampia, consulta le guide alla posta con dominio proprio, all'inoltro della posta e la documentazione TrekMail sui messaggi che finiscono nello spam.
Strumenti separati o un flusso coordinato
Combinare un generatore di chiavi DKIM isolato, un pannello DNS, un fornitore SMTP per le applicazioni e un altro per le newsletter richiede coordinamento. Una politica DMARC incompleta può nascondere problemi fino a un cambio di fornitore, una rotazione errata o un inoltro che riveli carenze di autenticazione.
Un flusso coordinato consente di gestire dominio, caselle, controlli DNS e configurazione di invio nella stessa piattaforma, tenendo conto dei servizi esterni.
Secondo il piano e la configurazione di TrekMail, può comprendere:
- Domini personalizzati e caselle IMAP in un pannello.
- SMTP proprio con Nano o SMTP gestito nei piani a pagamento che lo includono.
- Migrazione della posta precedente tramite IMAP, se la sorgente è compatibile.
- Catch-all, inoltro delle caselle e accesso API secondo il piano.
- Un flusso DNS e di autenticazione per SPF, DKIM e DMARC.
Il coordinamento conta soprattutto con più domini. Un'autenticazione mal configurata aumenta il lavoro, oltre al costo delle licenze per utente. A titolo indicativo, Starter è pubblicizzato da $3.50 al mese e il piano gratuito da $0 prevede fino a 10 domini e 5GB con SMTP proprio, secondo le condizioni vigenti. I piani a pagamento possono offrire una prova di 14 giorni con carta richiesta; Nano viene proposto senza tale requisito. Verifica i termini prima di aderire.
Per trasferire la posta durante la sistemazione dell'autenticazione, il flusso di migrazione IMAP può importare da Gmail, Microsoft 365 o altri servizi IMAP compatibili in una casella TrekMail, secondo autorizzazioni e configurazione della sorgente.
Rotazione, revoca e manutenzione
Un generatore di chiavi DKIM serve anche alla manutenzione. Pianifica le rotazioni, ritira con attenzione i vecchi selettori e separa quelli dei diversi mittenti quando facilita la diagnosi e limita l'impatto di un'esposizione.
Una procedura pratica è:
- Generare una nuova chiave da 2048 bit con un nuovo selettore.
- Pubblicare la nuova chiave pubblica nel DNS.
- Configurare il mittente per firmare con il nuovo selettore.
- Verificare che i nuovi messaggi mostrino
dkim=pass. - Mantenere il vecchio selettore finché messaggi in coda possono ancora richiedere la verifica.
- Rimuovere la vecchia chiave pubblica dopo un periodo di transizione adeguato.
Se una chiave privata viene esposta, sostituiscila e valuta la revoca necessaria. I selettori con versione facilitano l'intervento, a differenza di mantenere default indefinitamente.
Un generatore di chiavi DKIM non corregge cattive pratiche di invio. L'autenticazione è importante, ma conta anche la reputazione. Le indicazioni Google per i mittenti di grandi volumi prevedono di controllare le segnalazioni di spam, usare SPF e DKIM e configurare DMARC. TrekMail raccomanda di verificare il DNS, aumentare gradualmente i volumi quando opportuno ed evitare invii massivi non richiesti.
Conclusione: generare la chiave è solo l'inizio
Un generatore di chiavi DKIM avvia il processo. L'obiettivo è un selettore corretto, una chiave pubblica pubblicata, la privata corrispondente sul mittente e messaggi reali con dkim=pass e allineamento DMARC.
Genera una chiave da 2048 bit, usa un selettore con versione, pubblica correttamente il TXT e verifica intestazioni reali. Se gestisci più domini e fornitori, un flusso coordinato può semplificare il lavoro. Secondo il piano, TrekMail offre domini personalizzati, caselle IMAP, spazio condiviso, migrazione IMAP e configurazione DNS di autenticazione senza costi per utente. Consulta l'opzione gratuita su trekmail.net o confronta le condizioni su trekmail.net/pricing.
