Como criar um registro DKIM: chaves, DNS e verificação

Se você envia e-mail pelo próprio domínio, precisa publicar registros DKIM no DNS. Configurá-los corretamente é importante para a autenticação e pode favorecer a entregabilidade. Sem uma assinatura DKIM verificável, o destinatário não consegue usar esse mecanismo para conferir se o conteúdo assinado foi alterado no trânsito. Google, Yahoo e Microsoft estabelecem requisitos de autenticação para determinados remetentes, especialmente os de envio em massa; DKIM também é recomendado para domínios de baixo volume.

Este guia cobre todo o processo: gerar as chaves, publicar o registro DNS, habilitar a assinatura e verificar o resultado. Sem rodeios: etapas, sintaxe e erros comuns. Os fundamentos são os mesmos, tanto na criação manual quanto no uso de uma plataforma gerenciada.

O que é um registro DKIM?

Um registro DKIM é um TXT DNS que contém a parte pública de um par de chaves criptográficas. O servidor assina mensagens de saída com a chave privada. O destinatário busca a chave pública no DNS e verifica a assinatura para confirmar a responsabilidade do domínio signatário e a integridade do corpo e dos cabeçalhos assinados. DKIM é definido no RFC 6376 e é um componente importante da autenticação moderna de e-mail.

Como criar registros DKIM em 4 etapas

Etapa 1: gere o par de chaves DKIM

Antes de publicar o registro, você precisa de um par de chaves: uma privada que fica no sistema signatário e uma pública que vai para o DNS. A forma de geração depende da configuração.

Se você usa um serviço de e-mail hospedado (Google Workspace, Microsoft 365, Zoho), o provedor gera as chaves. Você copia os registros DNS fornecidos. No Google Workspace, acesse Console do administrador > Apps > Google Workspace > Gmail > Autenticar e-mail e clique em “Gerar novo registro”; os nomes das opções podem variar.

Se administra seu próprio servidor de e-mail (Postfix, Exim, OpenDKIM), gere o par pela linha de comando:

openssl genrsa -out dkim_private.pem 2048
openssl rsa -in dkim_private.pem -pubout -out dkim_public.pem

Use chaves de 2048 bits quando o sistema suportar. Guias antigos citam 1024 bits, um tamanho com margem de segurança menor em 2026. A aceitação de assinaturas de 1024 bits depende do destinatário e de suas políticas; prefira uma chave mais resistente quando possível.

Escolha também um seletor: uma etiqueta que identifica essa chave específica. Seletores permitem rotacionar chaves ou usar chaves diferentes em cada serviço. Convenções comuns incluem google, s1, mail2026 ou o nome do serviço, como sendgrid.

Etapa 2: adicione a chave pública ao DNS

É aqui que você publica o registro DKIM no DNS do domínio. O procedimento costuma ser simples. Acesse o provedor DNS (Cloudflare, Route 53, GoDaddy, Namecheap) e adicione um TXT novo, ou o tipo de registro indicado pelo provedor de envio.

Campo Host/Nome:

selector._domainkey.yourdomain.com

Substitua selector pelo nome escolhido na etapa 1. Se o seletor é s1 e o domínio é example.com, o nome completo é:

s1._domainkey.example.com

Campo Valor:

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA2K4PavXoNY8eGK2u...truncated...base64encodedpublickey

A tag p= contém a chave pública completa como uma string base64. Remova os cabeçalhos PEM (-----BEGIN PUBLIC KEY-----) e todas as quebras de linha: os dados da chave precisam formar uma string contínua. O exemplo está abreviado e não é uma chave utilizável.

Importante: Cada string de um TXT DNS tem um limite de 255 caracteres de um byte. Uma chave RSA de 2048 bits excede esse tamanho depois da codificação. Alguns provedores dividem o valor automaticamente em strings entre aspas; outros exigem divisão manual em blocos de até 255 caracteres, entre aspas duplas. O verificador concatena as strings do mesmo registro.

Etapa 3: habilite a assinatura DKIM no servidor

Publicar o registro DNS não basta. O servidor precisa assinar ativamente as mensagens de saída com a chave privada correspondente.

Google Workspace: Clique em “Iniciar autenticação” no painel em que gerou a chave, conforme a interface atual.

OpenDKIM (Postfix/Exim): Edite /etc/opendkim.conf:

Selector    s1
KeyFile     /etc/opendkim/keys/example.com/dkim_private.pem
Domain      example.com
Socket      inet:8891@localhost

Depois adicione o milter ao Postfix em /etc/postfix/main.cf:

milter_default_action = accept
milter_protocol = 6
smtpd_milters = inet:localhost:8891
non_smtpd_milters = inet:localhost:8891

Reinicie os dois serviços após validar os ajustes para sua instalação:

sudo systemctl restart opendkim
sudo systemctl restart postfix

Provedores externos de envio (SendGrid, Mailgun, Amazon SES) têm seus próprios fluxos de ativação. O padrão comum é receber CNAMEs ou TXTs, publicá-los no DNS e clicar em “Verificar” no painel. Siga as instruções atuais do serviço.

Etapa 4: verifique o registro

Não presuma que funciona. Verifique desde o início.

Pela linha de comando:

dig TXT s1._domainkey.example.com +short

A resposta deve conter a chave pública. Se estiver vazia, confira nome, tipo de registro, DNS autoritativo e caches. Alguns guias sugerem aguardar até 48 horas, embora muitos TXTs fiquem visíveis em minutos; o prazo depende do TTL e não faz um registro incorreto aparecer.

Com um e-mail de teste: Envie para um endereço Gmail e examine os cabeçalhos originais. Procure:

Authentication-Results: mx.google.com;
    dkim=pass header.i=@example.com header.s=s1

Se aparecer dkim=pass, a assinatura desse teste foi validada. Se aparecer dkim=fail ou dkim=neutral, investigue a configuração e o motivo específico do resultado; a próxima seção apresenta erros comuns.

Entenda a sintaxe do registro DKIM

Entender a sintaxe ajuda a publicar registros corretos, especialmente na primeira configuração. Veja seus componentes:

v=DKIM1; k=rsa; t=s; p=MIIBIjANBgkqhkiG9w0BAQE...

Erros comuns ao criar registros DKIM

Equipes que configuram DKIM pela primeira vez costumam encontrar os mesmos erros.

1. Quebras de linha na chave pública. Muito comum. Copiar uma chave PEM com quebras de linha para o campo DNS pode invalidá-la. Remova quebras e espaços dos dados base64.

2. Seletor errado no nome DNS. Você gerou a chave com s1, mas o servidor usa default. O destinatário consulta default._domainkey.example.com, não encontra a chave e DKIM falha. O seletor DNS deve corresponder exatamente ao utilizado na assinatura.

3. Vários registros DKIM com o mesmo seletor. Diferentemente do SPF, que exige uma única política por domínio, DKIM permite várias chaves com seletores distintos. Publicar dois TXTs separados para s1._domainkey pode invalidar a consulta da chave; o destinatário não deve precisar escolher um.

4. Esquecer de habilitar a assinatura. Você adicionou o registro e achou que tinha terminado. O DNS só publica a chave pública; o servidor precisa assinar mensagens com a privada. Sem assinatura, o registro não autentica o e-mail.

5. Usar chaves de 1024 bits. Elas ainda podem ser aceitas, mas as diretrizes do Google para remetentes recomendam 2048 bits quando houver suporte. Gere outro par, publique a chave pública com um novo seletor e atualize a assinatura. Mantenha a chave anterior durante o trânsito das mensagens já enviadas e depois revogue deixando seu p= vazio.

DKIM, SPF e DMARC: o conjunto completo

DKIM não funciona isoladamente. É um componente de um conjunto de autenticação com três partes.

SPF verifica se o IP do servidor remetente é autorizado pelo domínio avaliado. É importante, mas pode falhar no encaminhamento porque o IP muda. Se ainda não configurou, consulte o guia de configuração SPF e como SPF funciona para e-mail para entender o limite de 10 termos que acionam consultas e as demais restrições.

DKIM pode sobreviver ao encaminhamento porque assina o conteúdo, não o IP remetente, desde que os dados assinados permaneçam intactos. Por isso complementa SPF.

DMARC relaciona os mecanismos. Informa ao destinatário uma política para mensagens que falham no DMARC: quarentena, rejeição ou nenhuma ação solicitada. Para passar, SPF ou DKIM precisa validar e estar alinhado ao domínio From visível.

Um objetivo possível é SPF passar e alinhar, DKIM passar e alinhar e, depois de revisar todos os remetentes legítimos, aplicar p=reject no DMARC. Isso pode contribuir para uma boa reputação do domínio, mas não garante melhor posicionamento na caixa de entrada.

Para empresas, esse conjunto é uma base importante de operações seguras de e-mail, não uma garantia de segurança completa.

Como o TrekMail pode ajudar com DKIM

Em um único domínio, criar registros manualmente costuma ser administrável. Com dezenas de domínios, a automação pode reduzir o trabalho: rotacionar chaves, coordenar seletores entre serviços e identificar erros antes que prejudiquem a entregabilidade.

A abordagem do TrekMail é mostrar os registros SPF/DKIM/DMARC necessários ao conectar um domínio e verificar sua configuração. A geração e o gerenciamento de chaves dependem do caminho de envio: no SMTP gerenciado, cabe à plataforma; no SMTP externo, obtenha os valores do provedor signatário. As verificações podem apontar problemas, mas não garantem detectar toda falha antes de afetar o e-mail.

• Plano Nano ($0): BYO SMTP (Amazon SES, Mailgun, etc.). Use os registros DKIM do provedor que assina. Apresentado sem cartão de crédito; confira as condições atuais.
• Starter ($3.50/mês): SMTP gerenciado; confira os recursos disponíveis de geração e rotação DKIM. A oferta descrita inclui teste gratuito de 14 dias com cartão.
• Pro ($10/mês): Vários domínios de envio com seletores DKIM próprios, conforme os recursos atuais. Teste gratuito de 14 dias na oferta descrita.
• Agency ($23.25/mês): Gestão centralizada de domínios de clientes, com uma referência de 100+ domínios. Confira limites e recursos de rotação e monitoramento. Teste gratuito de 14 dias na oferta descrita.

Não é só conveniência. Um registro DKIM incorreto pode passar despercebido até surgirem falhas de autenticação ou entrega. A validação automatizada ajuda a identificar problemas, mas não substitui testes com mensagens reais.

Conclusão

Para criar registros DKIM corretamente, você precisa de quatro elementos: um par de chaves de 2048 bits quando suportado, um TXT DNS no seletor certo, um servidor assinando ativamente e uma verificação do resultado. Um domínio simples pode exigir cerca de dez minutos de trabalho, sem contar espera ou diagnóstico.

Depois de DKIM, adicione SPF e DMARC para reforçar a autenticação do domínio. Trabalhar sem o conjunto completo pode limitar sinais de confiança e proteção contra falsificação, mas configurá-lo não garante entrega ou segurança absolutas.

Para reduzir a administração manual do DNS, experimente o TrekMail grátis conforme as condições atuais e use o assistente como apoio à configuração.