Gerador de chaves DKIM: configurar DNS e verificar

Se você procura um gerador de chaves DKIM, seu domínio talvez ainda não assine as mensagens ou suas assinaturas não estejam sendo validadas. E-mails sem autenticação podem sofrer mais filtragem. Uma falha de DKIM pode afetar o DMARC, mas um SPF válido e alinhado ainda pode permitir a aprovação. Redefinições de senha, faturas e mensagens comerciais podem acabar no spam ou em quarentena.

A configuração costuma ser mais simples do que parece. Um gerador de chaves DKIM cria uma chave privada para o sistema de envio e a chave pública correspondente, publicada no DNS. O destinatário verifica a assinatura do domínio signatário e a integridade das partes assinadas conforme a canonicalização usada. Isso, por si só, não comprova a identidade do remetente exibido.

Se você ainda está montando a infraestrutura, comece pelo guia de e-mail empresarial. Se já usa seu domínio, veja o que um gerador de chaves DKIM deve fornecer, qual tamanho escolher, como funcionam os seletores e como publicar o registro reduzindo os riscos de configuração.

O que um gerador de chaves DKIM realmente faz

Um gerador de chaves DKIM cria um par de chaves criptográficas. A privada fica no sistema de envio e assina as mensagens de saída. A pública é publicada no DNS sob um seletor para que os destinatários verifiquem a assinatura DKIM dos cabeçalhos.

Não há mistério. Um bom gerador de chaves DKIM realiza três tarefas:

Cria uma chave privada compatível com o sistema de envio.
Extrai a chave pública correspondente.
Formata essa chave pública como um registro TXT para publicar em selector._domainkey.example.com.

A dificuldade não está no cálculo criptográfico, mas em coordenar o seletor, o nome DNS, as quebras de linha e a configuração do remetente para que a assinatura seja validada em produção.

Segundo a RFC 6376, os seletores permitem publicar várias chaves e organizar sua rotação. Pela RFC 8301, os signatários devem usar chaves RSA de pelo menos 1024 bits; as de 2048 bits geralmente são uma escolha mais adequada. Se um gerador de chaves DKIM ainda recomenda 512 bits ou SHA-1, procure outra ferramenta.

Como deve ser o resultado

Um gerador de chaves DKIM deve entregar uma chave privada para assinatura e um registro de chave pública adequado ao DNS. O registro fica no nome do seletor, não na raiz do domínio, e contém a chave pública na tag p=.

Este é o formato geral:

Host: tm2026._domainkey.example.com
Type: TXT
Value: v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A...

Você também pode gerar o par localmente com OpenSSL, em vez de confiar sua chave privada a um gerador de chaves DKIM na web. Atenção ao último comando: ele exibe material privado, e sua saída não deve ser compartilhada.

openssl genrsa -out dkim-private.pem 2048
openssl rsa -in dkim-private.pem -pubout -out dkim-public.pem
openssl rsa -in dkim-private.pem -text -noout

Depois converta a chave pública para o valor em uma única linha que a maioria dos painéis DNS aceita:

awk 'NF {sub(/\r/, ""); printf "%s",$0;}' dkim-public.pem \
| sed 's/-----BEGIN PUBLIC KEY-----//; s/-----END PUBLIC KEY-----//g'

Dividir um TXT longo em segmentos entre aspas pode estar correto, desde que pertençam ao mesmo registro. Inserir espaços no meio da chave, porém, pode invalidá-la e dificultar o diagnóstico.

O seletor é o rótulo da chave, não a chave em si. Se a assinatura informa s=tm2026, o destinatário consulta tm2026._domainkey.yourdomain.com. Sem esse registro, a assinatura DKIM não pode ser validada.

Como escolher o seletor e o tamanho da chave

Escolha um gerador de chaves DKIM que produza uma chave de 2048 bits e permita seletores úteis para rotação. O sistema de envio precisa ser configurado para assinar com RSA e SHA-256; a geração da chave não seleciona esse algoritmo automaticamente. Trate os seletores como rótulos operacionais de versão.

Use nomes que indiquem quando e onde a chave é utilizada. Por exemplo:

tm2026
app1q1
marketing2026

Exemplos menos práticos:

default mantido indefinidamente
test em produção
dkim reutilizado por todos os remetentes

Opção	Usar?	Motivo
RSA de 1024 bits	Somente se necessário	É o mínimo aceito em alguns ambientes, não o objetivo recomendado.
RSA de 2048 bits	Sim	Uma escolha comum para muitos domínios e provedores DNS atuais.
Um seletor permanente	Evite	Complica a rotação e a resposta a incidentes.
Seletores com versão	Sim	Permitem publicar a nova chave antes de retirar a antiga.

A RFC 8301 exige no mínimo 1024 bits e recomenda 2048 bits. As orientações do Google para remetentes em massa exigem DKIM e SPF, com pelo menos um alinhado ao domínio From no envio direto a contas pessoais do Gmail. Consulte as perguntas frequentes sobre diretrizes para remetentes para conferir os requisitos aplicáveis.

Ao escolher um gerador de chaves DKIM, verifique se facilita chaves de 2048 bits, nomes claros de seletor e rotação. Esses aspectos são mais relevantes do que apenas conseguir gerar uma chave.

Como publicar o registro DNS com menos risco

Um gerador de chaves DKIM cobre apenas parte do trabalho. Publique o TXT no nome exato usado pelo remetente, considere os caches DNS e habilite a assinatura depois de confirmar que a chave pública está disponível.

Estes erros são comuns:

Publicar o TXT em @ em vez de selector._domainkey.
Colar os delimitadores PEM no DNS em vez de apenas a chave base64.
Habilitar a assinatura antes de o DNS responder corretamente.
Configurar outro seletor na plataforma de e-mail.

Ao configurar um domínio no TrekMail, siga os registros indicados pelo fluxo DNS para sua modalidade de envio. A documentação de adição de domínio explica o valor TXT do DKIM. Com SMTP próprio, use o seletor e a chave do provedor que realmente envia as mensagens. Salve os registros e execute a verificação disponível; se houver problemas, consulte o verificador de status DNS.

No encaminhamento, uma falha de SPF não impede necessariamente a aprovação do DMARC se o DKIM passar e estiver alinhado. O DKIM pode continuar válido quando os dados assinados não são alterados. Já o SPF pode falhar pela mudança do servidor de envio. O guia para encaminhar e-mail de domínio ao Gmail explica esse cenário.

Como testar se a chave DKIM funciona

Depois de usar um gerador de chaves DKIM e publicar o registro, examine cabeçalhos reais. Uma resposta DNS correta não comprova que o remetente assina. Procure dkim=pass e confira o alinhamento de domínio necessário ao DMARC nas mensagens efetivamente enviadas.

Envie uma mensagem ao Gmail e examine os cabeçalhos originais. Um resultado possível é:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@example.com header.s=tm2026 header.b=...
       spf=pass smtp.mailfrom=example.com
       dmarc=pass header.from=example.com

Se o DKIM falhar, siga esta ordem:

Confira o seletor s= no cabeçalho DKIM-Signature.
Consulte esse nome DNS exato com dig.
Confirme que a chave pública no DNS corresponde à privada carregada no remetente.
Confira o domínio de assinatura configurado em d=.
Verifique se uma lista, um rodapé acrescentado ou um relay alterou cabeçalhos ou conteúdo assinado.

dig +short TXT tm2026._domainkey.example.com

Um gerador de chaves DKIM que não explica o nome DNS, a validação ou o alinhamento deixa a configuração incompleta. Mesmo com uma chave publicada, o DKIM não fornece alinhamento ao DMARC se o domínio d= não estiver alinhado ao From visível: o modo relaxado aceita o mesmo domínio organizacional, enquanto o estrito exige correspondência exata.

Para revisar o ambiente completo, consulte os guias de e-mail com domínio próprio, encaminhamento de e-mail e a documentação do TrekMail sobre mensagens que chegam ao spam.

Ferramentas dispersas ou um fluxo coordenado

Combinar um gerador de chaves DKIM isolado, um painel DNS, um provedor SMTP para aplicações e outro para newsletters exige coordenação. Uma política DMARC incompleta pode esconder problemas até uma mudança de provedor, uma rotação incorreta ou um encaminhamento que revele falhas de autenticação.

Um fluxo coordenado permite administrar domínio, caixas, verificações DNS e configurações de envio na mesma plataforma, levando em conta os serviços externos.

Conforme o plano e a configuração do TrekMail, isso pode incluir:

Domínios próprios e caixas IMAP em um painel.
SMTP próprio no Nano ou SMTP gerenciado nos planos pagos que o incluam.
Migração de mensagens antigas via IMAP quando a origem for compatível.
Catch-all, encaminhamento de caixas e acesso à API conforme o plano.
Um fluxo de DNS e autenticação para SPF, DKIM e DMARC.

Essa coordenação importa ainda mais com vários domínios. A autenticação mal configurada aumenta o trabalho, além do custo das licenças por usuário. Como referência, o Starter é anunciado a partir de $3.50 por mês, e o plano gratuito de $0 prevê até 10 domínios e 5GB com SMTP próprio, conforme as condições vigentes. Os planos pagos podem oferecer uma avaliação de 14 dias que exige cartão; o Nano é oferecido sem essa exigência. Confira os termos antes de contratar.

Para transferir mensagens antigas durante os ajustes de autenticação, o fluxo de migração IMAP pode importar de Gmail, Microsoft 365 ou outros serviços IMAP compatíveis para uma caixa TrekMail, conforme permissões e configuração da origem.

Rotação, revogação e manutenção

Um gerador de chaves DKIM também participa da manutenção. Planeje a rotação, retire os seletores antigos com cuidado e separe os seletores dos diferentes remetentes quando isso facilitar o diagnóstico e reduzir o impacto de uma exposição.

Uma rotina prática é:

Gerar uma nova chave de 2048 bits com outro seletor.
Publicar a nova chave pública no DNS.
Configurar o remetente para assinar com o novo seletor.
Confirmar que novas mensagens mostram dkim=pass.
Manter o seletor anterior enquanto mensagens na fila ainda puderem precisar de validação.
Remover a chave pública antiga após um período de transição adequado.

Se uma chave privada for exposta, substitua-a e avalie a revogação necessária. Seletores com versão facilitam essa resposta, ao contrário de manter default indefinidamente.

Um gerador de chaves DKIM não corrige práticas ruins de envio. A autenticação é importante, mas a reputação também conta. As diretrizes do Google para remetentes em massa incluem controlar denúncias de spam, usar SPF e DKIM e configurar DMARC. O TrekMail recomenda verificar o DNS, aumentar o volume gradualmente quando adequado e evitar disparos em massa não solicitados.

Conclusão: gerar a chave é só o começo

Um gerador de chaves DKIM inicia o processo. O objetivo é ter o seletor correto, a chave pública publicada, a privada correspondente no remetente e mensagens reais com dkim=pass e alinhamento DMARC.

Gere uma chave de 2048 bits, use um seletor com versão, publique o TXT corretamente e examine cabeçalhos reais. Se administra vários domínios e provedores, um fluxo coordenado pode simplificar a operação. Conforme o plano, o TrekMail oferece domínios próprios, caixas IMAP, armazenamento compartilhado, migração IMAP e configuração DNS de autenticação sem cobrança por usuário. Confira a opção gratuita em trekmail.net ou compare as condições em trekmail.net/pricing.