Generatore di record DKIM: chiavi locali e DNS

Se cerchi un generatore di record DKIM perché Gmail o Google Postmaster Tools segnalano errori di autenticazione, verifica prima la configurazione di base. La nostra guida alla posta con dominio proprio illustra MX, SPF, DKIM, DMARC e gli errori DNS che possono compromettere l'invio.

Molti strumenti trascurano una distinzione essenziale: la chiave pubblica va nel DNS, mentre la privata resta nel sistema che firma. Un sito che genera la chiave sul server può accedervi. Un'implementazione verificata che la generi esclusivamente nel browser può evitare questa esposizione, ma non affidare chiavi private a strumenti sconosciuti. La chiave permette di firmare con il dominio, senza dimostrare da sola l'identità del From visibile.

Questa guida presenta due approcci pratici a un generatore di record DKIM nel 2025-2026: creare le chiavi localmente con OpenSSL per un'infrastruttura propria oppure seguire i record e la gestione delle chiavi indicati da TrekMail, Amazon SES, SendGrid, Mailgun o Google Workspace per il servizio che invia effettivamente.

Cos'è un generatore di record DKIM?

Un generatore di record DKIM prepara i dati DNS di DomainKeys Identified Mail. Può generare una coppia RSA per un TXT o fornire i CNAME del servizio che puntano alla chiave pubblicata altrove, quando viene utilizzata la delega.

DKIM firma la posta in uscita con una chiave privata. Il destinatario recupera la pubblica corrispondente dal DNS e verifica la firma del dominio firmatario e l'integrità delle parti firmate, secondo la canonicalizzazione applicata.

Per le firme RSA, la RFC 8301 richiede rsa-sha256, almeno 1024 bit e raccomanda almeno 2048 bit. Un generatore di record DKIM dovrebbe quindi favorire RSA 2048 anziché limitarsi a 1024, senza che la dimensione garantisca da sola sicurezza o recapito.

I rischi dei generatori web sconosciuti

Prima di fidarti di uno strumento web, valuta come tratta la chiave privata. Se viene generata o trasmessa al server, il gestore può accedervi. La generazione locale nel browser può ridurre l'esposizione quando l'implementazione è verificata; non basta quanto dichiarato dalla pagina.

DKIM non è soltanto una questione di formato DNS. È una firma crittografica associata a un dominio. Limita l'accesso alla privata al sistema firmatario e alla sua amministrazione autorizzata. Un terzo che la crea, registra o conserva potrebbe in seguito firmare messaggi con quel dominio.

Chiave pubblica nel DNS, privata nel sistema firmatario. Se un modulo fornisce entrambe, verifica dove è stata generata la privata e se ha lasciato il browser.

Questo è il criterio importante per un generatore di record DKIM: dove è stata creata la chiave privata e chi ha potuto accedervi? Se non puoi verificare la risposta, non usarla in produzione.

Generazione locale con OpenSSL

Un generatore di record DKIM locale, come OpenSSL sul tuo computer o sul server firmatario, riduce l'esposizione a siti esterni. La protezione dipende ancora da dispositivo, permessi, backup e gestione dei file.

Questo metodo è adatto a Postfix, Exim, Exchange, OpenDKIM o un'altra infrastruttura propria con firma DKIM configurata. Genera la coppia localmente, installa la privata nel sistema firmatario e pubblica soltanto la pubblica nel DNS.

Genera una coppia RSA da 2048 bit:

openssl genrsa -out private.key 2048
openssl rsa -in private.key -pubout -out public.key

Il file public.key avrà questo formato; la chiave abbreviata è illustrativa e non utilizzabile così com'è:

-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAr...
-----END PUBLIC KEY-----

Prepara il contenuto:

1. Rimuovi le righe BEGIN PUBLIC KEY e END PUBLIC KEY.
2. Rimuovi le interruzioni di riga.
3. Aggiungi i tag DKIM appropriati.

Un TXT manuale ha generalmente questo formato, con una chiave abbreviata da sostituire:

default._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAr..."

La chiave grezza non basta. Un generatore di record DKIM deve preparare un record valido: v=DKIM1 è facoltativo, ma deve obbligatoriamente essere il primo tag se presente; p= è obbligatorio. I tag opzionali s=email e t=s solitamente non servono per una configurazione di base.

Il limite di 255 ottetti nelle stringhe TXT

Alcuni pannelli rendono difficile pubblicare il risultato di un generatore di record DKIM. Una chiave pubblica RSA da 2048 bit è lunga. Ogni stringa TXT ha un limite in ottetti, quindi può essere necessario dividere il valore in segmenti tra virgolette nello stesso record.

Un vecchio pannello potrebbe rifiutare o troncare il valore, oppure salvare solo una parte della chiave. Potresti ottenere permerror, errori di formato o un avviso DKIM nonostante esista il nome del selettore.

Se il fornitore richiede la suddivisione, usa più stringhe tra virgolette in un solo TXT; i frammenti seguenti sono illustrativi:

default._domainkey.example.com. IN TXT (
  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEArFirstPart"
  "SecondPartOfTheSamePublicKey"
)

Il verificatore DKIM concatena le stringhe dello stesso record per ottenere un valore logico. Il resolver può mostrarle separatamente. Un generatore di record DKIM utile spiega quando suddividere il valore e quale formato accetta il pannello DNS.

Gestione delle chiavi del fornitore e delega

Per molte aziende, il generatore di record DKIM adatto è quello del servizio di invio. Alcuni fornitori consegnano CNAME, conservano la privata e gestiscono la rotazione. Altri usano TXT o richiedono passaggi manuali: delega e rotazione automatica non sono universali.

Con TrekMail, Amazon SES, Google Workspace, SendGrid o Mailgun, segui le istruzioni del servizio specifico. Potrebbe richiedere un TXT con la chiave o CNAME dei selettori che puntano al proprio TXT. Non presumere che tutti adottino lo stesso metodo.

TrekMail offre un percorso di configurazione con controlli DNS secondo la modalità di invio. Invece di generalizzare un esempio TXT o CNAME, consulta le istruzioni aggiornate di Aggiungere un dominio.

La configurazione dipende dal percorso di uscita. Nano usa SMTP proprio per l'invio. Nei piani a pagamento che includono SMTP gestito, Starter è pubblicizzato da $3.50 al mese. Possono offrire una prova di 14 giorni che richiede una carta; Nano viene proposto senza prova né carta. Verifica le condizioni vigenti prima di scegliere.

Per gli utenti TrekMail, il generatore di record DKIM corretto dipende dal percorso di invio:

1. Se TrekMail firma tramite SMTP gestito, usa i record mostrati nel pannello.
2. Con SMTP proprio, configura DKIM sul relay che invia effettivamente e pubblica i suoi record; usare il relay non garantisce che firmi.
3. Se il fornitore consegna CNAME dei selettori, mantieni quel tipo. Non convertirli in TXT per seguire un esempio generico.

Per scegliere tra inoltro, alias e caselle, leggi alias di dominio o casella e inoltro degli alias. Queste scelte influenzano il sistema che invia realmente e quindi la configurazione DKIM necessaria.

Dove pubblicare il selettore

Un generatore di record DKIM prepara i dati sotto il nome di un selettore, non alla radice del dominio. Esempi comuni sono default._domainkey, google._domainkey e tm1._domainkey.

Le interfacce DNS variano: alcune richiedono un nome relativo, altre il nome completo. Se il pannello aggiunge già la zona, inserire il dominio intero può creare default._domainkey.example.com.example.com. Quel nome non risponderà alla ricerca del selettore previsto.

Esempi di nomi relativi:

default._domainkey
selector1._domainkey
tm1._domainkey

Con più domini dei clienti, adotta procedure ripetibili anziché correzioni isolate. La nostra guida all'hosting di posta multidominio spiega come organizzare questa gestione.

Convalidare il risultato di un generatore di record DKIM

Non fermarti all'indicatore del pannello. Verifica il DNS dalla riga di comando. Interroga direttamente il selettore preparato dal generatore di record DKIM con dig ed esamina la risposta.

Inizia con questa interrogazione:

dig txt default._domainkey.example.com +short

Se l'interrogazione riesce, vedrai il valore DKIM o le stringhe tra virgolette. Dopo una modifica, puoi confrontare la risposta di un resolver pubblico:

dig txt default._domainkey.example.com @8.8.8.8 +short

Cosa controllare:

1. Nessuna risposta: verifica selettore, nome, stato DNS, cache ed errori di interrogazione; non dimostra una causa unica.
2. Risposta apparentemente parziale: esamina tutte le stringhe TXT e il valore salvato prima di concludere che sia stato troncato.
3. Più TXT DKIM sullo stesso selettore: possono invalidare la verifica e vanno corretti.
4. DNS corretto ma firma non valida: esamina le intestazioni e conferma selettore e coppia di chiavi del mittente.

Se Gmail segnala ancora problemi, consulta i requisiti per i mittenti di grandi volumi, che comprendono SPF, DKIM e DMARC. Gli errori di autenticazione possono influire sull'accettazione; un errore DKIM non implica necessariamente un errore DMARC se SPF passa allineato. Le domande frequenti sulle linee guida per i mittenti descrivono l'applicazione vigente.

Verifica anche il percorso di uscita TrekMail. La documentazione Impostazioni IMAP e SMTP descrive SMTP proprio per Nano e TrekMail SMTP quando il piano a pagamento lo consente. Se i messaggi finiscono nello spam con DNS corretto, segui I miei messaggi finiscono nello spam.

Conclusione: scegli la configurazione adatta

Il generatore di record DKIM deve corrispondere alla tua architettura. Nei server propri, generare localmente aiuta a controllare le chiavi. Nelle piattaforme ospitate, pubblica i TXT o i record di delega forniti e verifica come viene gestita la rotazione.

Se amministri il MTA, usa OpenSSL localmente e proteggi la privata come una credenziale di produzione. Con TrekMail, SES o un altro fornitore, segui i record indicati. Non usare chiavi di moduli sconosciuti soltanto per rimuovere un avviso.

Un percorso di autenticazione coordinato e verificabile può ridurre gli errori rispetto agli interventi manuali su ogni dominio. È utile con più marchi, domini dei clienti o migrazioni. Prima di scegliere l'inoltro, leggi inoltrare la posta del dominio a Gmail, poi confronta le condizioni nei prezzi TrekMail.

Un generatore di record DKIM non dovrebbe essere una scatola nera, ma un passaggio controllato in un'infrastruttura che conosci.