Gerador de registros DKIM: criar e validar DNS

Se você procura um gerador de registros DKIM porque o Gmail ou o Google Postmaster Tools mostram falhas de autenticação, confira primeiro a configuração básica. Nosso guia de e-mail com domínio próprio aborda MX, SPF, DKIM, DMARC e erros DNS que podem prejudicar o envio.

Muitas ferramentas deixam de explicar uma distinção essencial: a chave pública vai para o DNS; a privada fica no sistema que assina as mensagens. Um site que gera a chave no servidor pode acessá-la. Uma implementação auditada que gere tudo apenas no navegador pode evitar essa exposição, mas não confie chaves privadas a ferramentas desconhecidas. A chave permite assinar com seu domínio, sem comprovar sozinha a identidade do From visível.

Este guia apresenta duas abordagens práticas para usar um gerador de registros DKIM em 2025-2026: gerar chaves localmente com OpenSSL em uma infraestrutura própria ou seguir os registros e a gestão de chaves indicados por TrekMail, Amazon SES, SendGrid, Mailgun ou Google Workspace para o serviço que realmente envia.

O que é um gerador de registros DKIM?

Um gerador de registros DKIM prepara os dados DNS de DomainKeys Identified Mail. Pode gerar um par RSA para publicar a chave em TXT ou fornecer CNAMEs do provedor que apontam para uma chave hospedada em outro nome, quando o serviço usa delegação.

O DKIM assina mensagens de saída com uma chave privada. O destinatário busca a pública correspondente no DNS e verifica a assinatura do domínio signatário e a integridade das partes assinadas, conforme a canonicalização aplicada.

Para assinaturas RSA, a RFC 8301 exige rsa-sha256, chaves de pelo menos 1024 bits e recomenda no mínimo 2048 bits. Por isso um gerador de registros DKIM deve facilitar RSA 2048 em vez de se limitar a 1024, sem que o tamanho garanta sozinho segurança ou entrega.

Por que geradores web desconhecidos trazem riscos

Antes de confiar em uma ferramenta web, avalie como ela trata a chave privada. Se a chave é gerada ou transmitida ao servidor, o operador pode acessá-la. A geração local no navegador pode reduzir essa exposição quando a implementação é verificada; a afirmação da página não basta.

DKIM não é só uma tarefa de formatação DNS. É uma assinatura criptográfica associada a um domínio. Restrinja o acesso à chave privada ao sistema signatário e à administração autorizada. Se um terceiro a cria, registra ou guarda, poderá usá-la posteriormente para assinar mensagens com esse domínio.

Chave pública no DNS, chave privada no sistema signatário. Se um formulário fornece ambas, confira onde a privada foi gerada e se saiu do navegador.

Esse é o critério importante para qualquer gerador de registros DKIM: onde a chave privada foi criada e quem pôde acessá-la? Se você não consegue verificar a resposta, não use essa chave em produção.

Geração local com OpenSSL

Um gerador de registros DKIM local, como OpenSSL no seu computador ou no servidor signatário, reduz a exposição a sites externos. A proteção ainda depende do equipamento, das permissões, dos backups e do tratamento dos arquivos.

O método atende Postfix, Exim, Exchange, OpenDKIM ou outra infraestrutura própria com assinatura DKIM configurada. Gere o par localmente, instale a privada no sistema signatário e publique somente a pública no DNS.

Gere um par RSA de 2048 bits:

openssl genrsa -out private.key 2048
openssl rsa -in private.key -pubout -out public.key

O arquivo public.key terá este formato; a chave abreviada é ilustrativa e não pode ser usada como está:

-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAr...
-----END PUBLIC KEY-----

Prepare o conteúdo:

Remova as linhas BEGIN PUBLIC KEY e END PUBLIC KEY.
Remova as quebras de linha.
Acrescente as tags DKIM adequadas.

Um TXT manual costuma ter este formato, com uma chave abreviada que deve ser substituída:

default._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAr..."

A chave sem formatação não basta. Um gerador de registros DKIM deve preparar um registro válido: v=DKIM1 é opcional, mas deve obrigatoriamente ser a primeira tag quando presente; p= é obrigatório. Tags opcionais como s=email e t=s geralmente não são necessárias na implantação básica.

O limite de 255 octetos das strings TXT

Alguns painéis dificultam publicar o resultado de um gerador de registros DKIM. Uma chave pública RSA de 2048 bits é longa. Cada string TXT tem um limite em octetos, por isso pode ser necessário dividir o valor em segmentos entre aspas dentro do mesmo registro.

Um painel antigo pode rejeitar ou truncar o valor, ou salvar só parte da chave. Você pode receber permerror, erros de formato ou um aviso de DKIM mesmo quando o nome do seletor existe.

Se o provedor exigir a divisão, use várias strings entre aspas em um único TXT; os fragmentos abaixo são ilustrativos:

default._domainkey.example.com. IN TXT (
  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEArFirstPart"
  "SecondPartOfTheSamePublicKey"
)

O verificador DKIM concatena as strings do mesmo registro para obter um valor lógico. O resolvedor pode exibi-las separadamente. Um gerador de registros DKIM útil explica quando dividir o valor e qual formato o painel DNS aceita.

Gestão de chaves pelo provedor e delegação

Para muitas empresas, o gerador de registros DKIM adequado é o do serviço de envio. Alguns provedores fornecem CNAMEs, guardam a privada e gerenciam a rotação. Outros usam TXT ou exigem etapas manuais: delegação e rotação automática não são universais.

Com TrekMail, Amazon SES, Google Workspace, SendGrid ou Mailgun, siga as instruções do serviço específico. Ele pode pedir um TXT com a chave ou CNAMEs de seletor que apontem para o TXT do provedor. Não presuma que todos adotam o mesmo método.

Aspecto	Gestão própria	Gestão pelo provedor
Criação de chaves	Você gera e guarda as chaves RSA	O provedor gerencia as chaves conforme o serviço
Registro DNS	Valor TXT longo	CNAME delegado ou TXT indicado pelo provedor
Rotação	Manual e fácil de esquecer	Automática ou assistida, conforme o serviço
Possíveis falhas	Sintaxe, truncamento e chaves antigas	Erros DNS, registros ausentes ou configuração de assinatura
Uso comum	MTAs próprios	Plataformas de e-mail e SMTP hospedadas

O TrekMail oferece um fluxo de configuração com verificações DNS conforme a modalidade de envio. Em vez de generalizar um exemplo TXT ou CNAME, consulte as instruções atuais de adição de domínio.

A configuração depende da rota de saída. O Nano usa SMTP próprio para enviar. Nos planos pagos que incluem SMTP gerenciado, o Starter é anunciado a partir de $3.50 por mês. Eles podem oferecer uma avaliação de 14 dias que exige cartão; o Nano é oferecido sem avaliação nem cartão. Confira as condições vigentes antes de escolher.

Para usuários do TrekMail, o gerador de registros DKIM correto depende da rota de envio:

Se o TrekMail assina via SMTP gerenciado, use os registros exibidos no painel.
Com SMTP próprio, configure DKIM no relay que realmente envia e publique seus registros; usar o relay não garante que ele assine.
Se o provedor fornece CNAMEs de seletor, mantenha esse tipo. Não os converta em TXT para seguir um exemplo genérico.

Para escolher entre encaminhamento, aliases e caixas, leia alias de domínio ou caixa de e-mail e encaminhamento de aliases. Essas escolhas afetam qual sistema envia e, portanto, a configuração DKIM necessária.

Onde publicar o seletor

Um gerador de registros DKIM prepara dados sob o nome de um seletor, não na raiz do domínio. Exemplos comuns são default._domainkey, google._domainkey e tm1._domainkey.

As interfaces DNS variam: algumas pedem um nome relativo e outras o nome completo. Se o painel já acrescenta a zona, inserir o domínio inteiro pode criar default._domainkey.example.com.example.com. Esse nome não responderá à consulta do seletor pretendido.

Exemplos de nomes relativos:

default._domainkey
selector1._domainkey
tm1._domainkey

Com vários domínios de clientes, adote procedimentos repetíveis em vez de ajustes isolados. Nosso guia de hospedagem de e-mail multidomínio explica como organizar essa operação.

Como validar o resultado de um gerador de registros DKIM

Não se limite ao indicador do painel. Verifique o DNS pela linha de comando. Consulte diretamente o seletor preparado pelo gerador de registros DKIM com dig e examine a resposta.

Comece com esta consulta:

dig txt default._domainkey.example.com +short

Se a consulta funcionar, aparecerá o valor DKIM ou suas strings entre aspas. Após uma alteração, você pode comparar a resposta de um resolvedor público:

dig txt default._domainkey.example.com @8.8.8.8 +short

O que verificar:

Sem resposta: confira seletor, nome, estado DNS, caches e erros de consulta; isso não comprova uma causa única.
Resposta aparentemente parcial: examine todas as strings TXT e o valor salvo antes de concluir que houve truncamento.
Vários TXT DKIM no mesmo seletor: podem invalidar a verificação e precisam ser corrigidos.
DNS correto mas assinatura inválida: examine cabeçalhos e confirme o seletor e o par de chaves do remetente.

Se o Gmail ainda aponta problemas, consulte seus requisitos para remetentes em massa, que incluem SPF, DKIM e DMARC. Falhas de autenticação podem afetar a aceitação; uma falha DKIM não implica necessariamente falha DMARC se o SPF passa alinhado. Veja as perguntas frequentes sobre diretrizes para remetentes para a aplicação vigente.

Confira também a rota de saída do TrekMail. A referência de configurações IMAP e SMTP descreve SMTP próprio no Nano e TrekMail SMTP quando o plano pago permite. Se as mensagens chegam ao spam mesmo com DNS correto, siga Meus e-mails vão para o spam.

Conclusão: escolha a configuração adequada

O gerador de registros DKIM precisa corresponder à sua arquitetura. Em servidores próprios, a geração local ajuda a controlar as chaves. Em plataformas hospedadas, publique os TXT ou registros de delegação fornecidos e confira como a rotação é gerenciada.

Se administra o MTA, use OpenSSL localmente e proteja a privada como uma credencial de produção. Com TrekMail, SES ou outro provedor, siga os registros fornecidos. Não use chaves de formulários desconhecidos apenas para remover um aviso.

Um fluxo de autenticação coordenado e verificável pode reduzir erros em comparação com ajustes manuais em cada domínio. Isso importa com várias marcas, domínios de clientes ou migrações. Antes de optar pelo encaminhamento, leia encaminhar e-mail de domínio ao Gmail e compare as condições em preços do TrekMail.

Um gerador de registros DKIM não deve ser uma caixa-preta, mas uma etapa controlada em uma infraestrutura que você conhece.