Come configurare DKIM: guida DNS passo dopo passo

Se inviate email senza DKIM nel 2026, i messaggi possono essere rifiutati. Google e Yahoo richiedono l'autenticazione crittografica per determinati flussi in ingresso secondo le politiche attuali. Senza firma, raggiungere la posta in arrivo è molto più difficile. Imparare come configurare DKIM non è facoltativo: può fare la differenza tra una consegna riuscita e un rifiuto con errore 550 5.7.26.

Per capire la configurazione DKIM bisogna partire dalle basi. DKIM, o DomainKeys Identified Mail, aggiunge una firma digitale a ogni messaggio in uscita. Il server destinatario confronta la firma con una chiave pubblica nel DNS. Se corrispondono, può verificare che il messaggio sia legittimo e non sia stato alterato. Altrimenti può segnalarlo o eliminarlo secondo le proprie regole.

Questa guida copre l'intero processo, dalla generazione delle chiavi alla pubblicazione nel DNS e alla verifica, con qualsiasi provider. Se SPF non è ancora configurato, iniziate dalla nostra guida al record SPF per email.

Che cosa fa DKIM in 30 secondi

DKIM usa la crittografia asimmetrica definita nella RFC 6376. Il server conserva una chiave privata e firma ogni messaggio in uscita. Voi pubblicate la chiave pubblica corrispondente in un record TXT DNS. Alla ricezione, il server recupera la chiave dal DNS e convalida la firma.

Vengono così dimostrati due aspetti:

• Identità: il messaggio proviene realmente dal vostro dominio.
• Integrità: nessuno ha modificato il contenuto durante il transito.

Senza DKIM, la reputazione del dominio può peggiorare. I provider di caselle tendono a trattare con maggiore cautela la posta non firmata, e l'effetto può accumularsi.

Come configurare DKIM: il processo completo

La configurazione DKIM richiede quattro passaggi: generare le chiavi, pubblicare il record DNS, verificare la propagazione e confermare l'allineamento DMARC. Ogni fase dura pochi minuti, ma saltarne una lascia incompleta l'autenticazione.

Passaggio 1: generate la coppia di chiavi DKIM

Il primo passaggio consiste nel generare la coppia tramite il provider di posta. Non usate siti casuali per generare DKIM: se creano la chiave privata, i loro gestori potrebbero falsificare messaggi dal vostro dominio.

Ogni provider fornisce due elementi: un selettore, cioè un'etichetta come s1, google o tm1, e il valore della chiave pubblica. Il selettore permette di usare più chiavi DKIM sullo stesso dominio, affinché la piattaforma marketing e il servizio transazionale ne abbiano una propria.

Utenti TrekMail

• Piani Starter, Pro e Agency ($3.50-$23.25 al mese): secondo l'offerta attuale, DKIM viene gestito automaticamente. La procedura SPF/DKIM/DMARC genera le chiavi e ne gestisce la rotazione. Basta aggiungere un CNAME che punti al servizio.
• Piano Nano ($0, senza carta): se usate un SMTP proprio, come Amazon SES, SendGrid o Mailgun, generate le chiavi nella dashboard di quel provider.

Altri provider

• Google Workspace: Console di amministrazione > App > Gmail > Autentica email > Genera nuovo record. La documentazione DKIM ufficiale di Google copre i casi particolari.
• Microsoft 365: Defender > Criteri e regole > Criteri di minaccia > Impostazioni di autenticazione email > DKIM.
• Amazon SES: Identità verificate > Scegli dominio > DKIM > Genera.
• SendGrid: Impostazioni > Autenticazione del mittente > Autentica il dominio.

Il risultato sarà simile a questo:

Selector: tm1
Value: v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A...

Copiate entrambi i valori. Serviranno nel passaggio successivo.

Passaggio 2: pubblicate il record DKIM nel DNS

Accedete al provider DNS, come Cloudflare, Namecheap, GoDaddy, Route 53 o il servizio verso cui puntano i nameserver, e create un record.

Usate questa configurazione:

Type:  TXT  (or CNAME if your provider gave you a CNAME target)
Host:  selector._domainkey
Value: v=DKIM1; k=rsa; p=YOUR_PUBLIC_KEY_HERE
TTL:   3600

Dettaglio essenziale: se il selettore è tm1, il campo Host deve essere tm1._domainkey, non tm1._domainkey.example.com. Molte dashboard aggiungono automaticamente il dominio. Se la vostra non lo fa, usate il nome completo.

Il problema delle chiavi da 2048 bit

È preferibile usare chiavi da 2048 bit. Sono lo standard attuale e alcuni provider non accettano più 1024 bit. Una chiave da 2048 bit produce però una stringa che supera il limite di 255 caratteri per frammento TXT DNS.

Se il provider mostra l'errore «Invalid Length», dividete il valore in due stringhe tra virgolette:

"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCg
KCAQEAx7...first-half-of-key..."
"second-half-of-key...QAB"

Il server DNS le concatena automaticamente. Cloudflare e molti provider moderni gestiscono la divisione. Alcune vecchie interfacce cPanel richiedono di farlo manualmente.

Passaggio 3: verificate il record DKIM

Dopo la pubblicazione, le modifiche non entrano in vigore subito. Attendete 5-15 minuti e controllate che il record sia visibile pubblicamente, tenendo conto di TTL e cache.

Su Mac o Linux:

dig txt tm1._domainkey.yourdomain.com +short

Su Windows:

nslookup -q=txt tm1._domainkey.yourdomain.com

Risultato previsto:

"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQE..."

Errori comuni:

• NXDOMAIN: il record non esiste. Potrebbe non essersi ancora propagato oppure il dominio è stato duplicato, come in tm1._domainkey.example.com.example.com. Controllate il campo Host.
• Risposta vuota: il record esiste ma è malformato. Verificate di aver copiato l'intera chiave senza spazi finali o interruzioni di riga.

Passaggio 4: controllate l'allineamento DKIM con DMARC

Configurare correttamente DKIM significa controllare l'allineamento. È qui che molte installazioni falliscono senza segnali evidenti. Una firma può essere matematicamente valida e causare comunque il rifiuto da parte di DMARC.

DMARC richiede allineamento: il dominio nel tag d= della firma DKIM deve corrispondere a quello nell'intestazione From:. Ecco una configurazione non allineata:

From: you@yourcompany.com
DKIM signature: d=sendgrid.net

Result: DKIM passes, DMARC fails (domains don't match)

Accade quando si usa un ESP esterno senza DKIM personalizzato, talvolta chiamato «autenticazione del dominio» o «white label». L'ESP firma con il proprio dominio invece del vostro.

Correggete il problema attivando la firma DKIM personalizzata in ogni servizio che invia per vostro conto. Con l'SMTP gestito di TrekMail, secondo la configurazione attuale, l'allineamento viene gestito automaticamente e i messaggi sono firmati con il vostro dominio fin dall'inizio.

Per capire l'interazione tra i protocolli, consultate la guida sulla reputazione del mittente.

Errori comuni nella configurazione DKIM

Ora che conoscete il processo completo, evitate questi problemi frequenti:

1. Dimenticare un servizio di invio. Se inviate tramite Google Workspace, un CRM e una piattaforma marketing, ciascuno richiede un record DKIM con selettore unico. Una firma mancante riduce il tasso di superamento DMARC.
2. Usare chiavi da 1024 bit. Alcune vecchie guide propongono ancora 1024 bit. Preferite 2048 bit, più sicuri e sempre più spesso richiesti.
3. Non ruotare le chiavi. Dovrebbero essere sostituite almeno una volta all'anno. Se una chiave privata viene compromessa, qualcuno può falsificare i vostri messaggi. Secondo le funzioni attuali, TrekMail gestisce automaticamente la rotazione nei piani gestiti.
4. Ignorare il formato selector._domainkey. Il trattino basso e il suffisso _domainkey sono obbligatori. Un nome host errato impedisce di trovare il record.

Come TrekMail automatizza la configurazione DKIM

Imparare a configurare DKIM per un dominio richiede circa 20 minuti. Con 10 o 50 domini diventa un vero carico operativo: una chiave scaduta o un selettore guasto può danneggiare silenziosamente la consegna per giorni.

L'approccio di TrekMail:

• Piano Nano ($0): la procedura completa SPF/DKIM/DMARC guida la configurazione. Non richiede una carta.
• Starter ($3.50 al mese) e Pro ($10 al mese): secondo l'offerta attuale, includono DKIM gestito con generazione, rotazione e firma automatiche. Aggiungete un CNAME e avete finito. I piani comprendono una prova gratuita di 14 giorni (carta richiesta).
• Agency ($23.25 al mese): consente di applicare la stessa autenticazione gestita ai domini dei clienti. TLS e firma DKIM sono imposti a livello di gateway secondo la configurazione attuale.

Niente più record DNS manuali né debug dei selettori alle 2 di notte. Provate TrekMail gratuitamente e configurate DKIM in meno di cinque minuti in condizioni normali.

In sintesi

Saper configurare DKIM è fondamentale per la consegna delle email nel 2026. Senza questo protocollo aumenta il rischio di rifiuto o filtraggio. Con DKIM potete dimostrare l'identità e contribuire a proteggere i messaggi dalle modifiche.

I passaggi sono semplici: generate le chiavi presso il provider, pubblicate il TXT nel DNS, verificate la propagazione e confermate l'allineamento DMARC. Ripetete per ogni servizio di invio, ruotate le chiavi almeno una volta all'anno e monitorate il tasso di superamento DKIM nei report DMARC.

Se preferite delegare l'autenticazione, i piani gestiti di TrekMail curano DKIM dalla generazione alla rotazione secondo le funzioni attuali. Per completare la sicurezza, consultate le guide sulla configurazione SPF e sull'email sicura per aziende.