Seletor DKIM: o que é e como configurar no DNS

Você geralmente só percebe o seletor DKIM quando o e-mail falha na autenticação, o Gmail começa a colocar mensagens no spam ou um fornecedor pede um TXT estranho como tm1._domainkey.example.com. Esse é o problema: parece um detalhe, mas um seletor errado pode fazer DKIM falhar. DMARC também pode falhar se não houver um resultado SPF válido e alinhado que compense. Isso pode prejudicar a entregabilidade.

A situação fica mais complexa com vários remetentes em um domínio. A hospedagem das caixas assina com uma chave, a ferramenta de marketing com outra e o CRM com uma terceira. Sem entender o seletor, você não consegue identificar o sistema responsável por cada assinatura, o registro DNS a rotacionar ou por que um fluxo passa e outro falha. Para o contexto geral, comece por e-mail empresarial.

A solução é tratar o seletor como uma etiqueta que direciona a busca das chaves DKIM. Quando você entende sua relação com o DNS, a configuração e o diagnóstico viram um procedimento, não um mistério.

O que é um seletor DKIM?

É a etiqueta em uma assinatura DKIM que informa ao destinatário qual chave pública buscar no DNS. Assim um domínio pode publicar várias chaves ao mesmo tempo para sistemas, fluxos ou rotações diferentes.

O seletor não é a chave, mas a indicação para encontrá-la. No cabeçalho DKIM-Signature, ele aparece em s=; o domínio signatário aparece em d=. O destinatário combina ambos em uma consulta como selector._domainkey.example.com e obtém a chave pública no TXT correspondente.

O RFC 6376 define isso diretamente: o verificador usa o domínio de d= e o seletor de s= para localizar o registro da chave pública. Sem seletor, a busca não pode ser feita; com um seletor errado, ela aponta para o lugar errado. Em ambos os casos, a verificação DKIM pode falhar.

Se a mensagem contém d=example.com e s=tm1, o destinatário consulta tm1._domainkey.example.com.

Para que serve o seletor DKIM?

Ele informa qual chave pública usar em uma mensagem específica. Isso permite ter mais de uma chave no mesmo domínio sem colisões.

Há três razões operacionais para isso.

1. Separar remetentes. Sua plataforma de suporte pode usar um seletor e o aplicativo transacional outro.
2. Permitir rotação de chaves. Publique um seletor novo, mude a assinatura e retire o anterior quando as mensagens em trânsito concluírem o percurso.
3. Limitar o alcance dos incidentes. Se a chave de um fornecedor for comprometida ou revogada, não é necessário alterar todos os outros remetentes.

Por isso configurações bem mantidas não costumam depender de uma única chave permanente. Usam vários registros DKIM, cada um com seu seletor, gerenciados como outras credenciais.

Onde encontrar o seletor DKIM?

Nos cabeçalhos da mensagem ou nas instruções DNS do provedor de envio. Em mensagens reais, ele aparece como valor de s= no DKIM-Signature.

Abra os cabeçalhos originais de uma mensagem recebida e procure DKIM-Signature:. Duas tags interessam:

• d= mostra o domínio signatário.
• s= mostra o seletor DKIM.

DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=tm1;
 c=relaxed/relaxed; h=from:to:subject:date:message-id;
 bh=...; b=...

Nesse caso, o seletor é tm1. O registro DNS a conferir é:

tm1._domainkey.example.com TXT

Ao configurar um novo remetente, o provedor geralmente fornece o seletor e um valor TXT ou destino CNAME. O TrekMail mostra os registros necessários no fluxo do domínio e permite verificá-los no painel, conforme os recursos disponíveis. Consulte registros DNS necessários e verificação do status DNS para preencher os campos corretos.

Como publicar um seletor DKIM no DNS?

Crie um registro em selector._domainkey.yourdomain.com. Normalmente é um TXT DKIM ou, em alguns provedores, um CNAME que aponta para a chave gerenciada por eles.

Estes são os dois padrões comuns.

DKIM com TXT:

Host: tm1._domainkey
Type: TXT
Value: v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ...

DKIM com CNAME:

Host: tm1._domainkey
Type: CNAME
Value: tm1.example-com.dkim.vendor.net.

Não invente o seletor. Use exatamente o informado pelo sistema signatário. Se o fornecedor indica s1, publique s1._domainkey. Se o TrekMail mostra dkim._domainkey para o envio gerenciado do domínio, use esse nome e valor. A configuração de SMTP personalizado (BYO) pode orientar quem usa um provedor externo no Nano; nesse caso, chaves e seletores vêm do provedor de saída.

Como testar se um seletor DKIM funciona?

Confira se o registro DNS resolve e depois se mensagens reais são assinadas com esse seletor e passam na verificação DKIM.

Comece consultando o DNS diretamente:

dig +short TXT tm1._domainkey.example.com
nslookup -type=TXT tm1._domainkey.example.com

Uma resposta vazia pode indicar registro ausente, nome incorreto, caches não atualizados, tipo de consulta inadequado ou outro problema de resolução. Confira também os servidores autoritativos.

Depois envie uma mensagem real e examine os cabeçalhos:

Authentication-Results: mx.google.com;
 dkim=pass header.i=@example.com header.s=tm1 header.b=...
 spf=pass smtp.mailfrom=example.com;
 dmarc=pass header.from=example.com

Estes são os resultados esperados:

• dkim=pass
• header.s=tm1 corresponde ao seletor publicado
• header.i descreve a identidade da assinatura, enquanto d= é o domínio comparado com From para o alinhamento DKIM do DMARC

Se você encaminha muito e-mail, leia também encaminhamento de e-mail. SPF pode falhar no encaminhamento. DKIM pode preservar a autenticação DMARC se o conteúdo assinado não mudar e o domínio signatário estiver alinhado, mas não garante entrega.

Por que um seletor DKIM falha?

As causas comuns são nome DNS incorreto, chave malformada, remetente assinando com outro seletor ou relay modificando a mensagem depois da assinatura.

Estes são os problemas que encontro com mais frequência em produção.

1. Nome DNS errado. Você publicou _domainkey.tm1 em vez de tm1._domainkey.
2. Domínio errado. A mensagem usa d=mg.example.com, mas o seletor foi publicado em example.com.
3. DNS inconsistente. O registro existe em servidores de nomes que não são os autoritativos.
4. Chave truncada. O painel DNS cortou o TXT no processo de copiar e colar.
5. Seletor antigo ainda em uso. As chaves foram rotacionadas, mas o remetente continua usando o seletor anterior.
6. Alteração após assinar. Encaminhadores ou gateways mudaram cabeçalhos protegidos ou o corpo.

As diretrizes do Google para remetentes alertam que mensagens em massa fora dos requisitos de autenticação podem ser limitadas ou bloqueadas. O Google também observa que encaminhamento costuma fazer SPF falhar; uma assinatura DKIM verificável é importante, mas não resolve todos os fatores de entrega.

Como nomear um seletor DKIM?

O nome deve ser simples, estável e ligado a uma finalidade operacional. Um bom nome acelera o diagnóstico porque identifica quem cuida da chave sem procurar em três painéis.

Nomes como default, key1 e test funcionam, mas perdem contexto com o tempo. Padrões mais descritivos:

• tm1 para envio gerenciado do TrekMail
• ses2026q1 para rotação no Amazon SES
• crm1 para uma plataforma CRM
• mktg2026a para tráfego de marketing

Quando você puder escolher, use nomes que respondam a duas perguntas de imediato: quem gerencia a chave e quando ela foi introduzida? Isso facilita auditorias de muitos domínios, especialmente em hospedagem de e-mail multidomínio.

Como rotacionar um seletor DKIM com cuidado?

Publique uma chave nova com outro seletor, mude a assinatura, aguarde o fim do trânsito das mensagens antigas e só então retire o registro anterior.

Não sobrescreva uma chave ativa, salvo exigência explícita do provedor. Um processo mais prudente:

1. Crie um seletor novo, por exemplo passando de tm1 para tm2.
2. Publique o novo registro DNS.
3. Aguarde até ele estar visível no DNS.
4. Mude o remetente para assinar com o seletor novo.
5. Envie testes e confirme dkim=pass nesse seletor.
6. Mantenha o registro antigo durante um período de margem.
7. Remova quando confirmar que nenhum sistema ainda assina com ele e nenhuma mensagem em trânsito precisa dele.

Isso importa ainda mais com vários sistemas de saída. A abordagem antiga compartilha uma chave duradoura e espera que ninguém esqueça onde ela é usada. A nova atribui um seletor a cada remetente, programa rotações e isola alterações.

Como o TrekMail gerencia o seletor DKIM?

O TrekMail mostra os registros necessários, permite verificá-los e contempla envio gerenciado nos planos pagos e BYO SMTP no Nano, conforme as condições atuais. Isso pode reduzir dúvidas sobre os nomes e o status DNS.

Para hospedagem de entrada e gestão de caixas, a oferta descrita inclui painel de domínios, armazenamento compartilhado, provisionamento por convite, encaminhamento e migração IMAP integrada. Para enviar, você escolhe o modelo:

• Os planos pagos podem usar TrekMail Managed SMTP, que assina com a chave DKIM do seu domínio.
• O Nano usa BYO SMTP, então o provedor de saída controla o seletor ativo e a assinatura.

A distinção importa. Se o provedor externo assina, o seletor ativo geralmente vem das instruções DNS dele. Se TrekMail Managed SMTP assina, use o registro DKIM mostrado no painel. A oferta descrita apresenta Starter por $3.50 ao mês e teste gratuito de 14 dias com cartão de crédito nos planos pagos. Nano é apresentado como gratuito, sem teste; confira as condições atuais. Para comparar o modelo de tarifa fixa sem cobrança por usuário, veja preços do TrekMail.

Lista de diagnóstico do seletor DKIM

Siga uma lista fixa: confirme o seletor no cabeçalho, o registro no nome DNS exato, o uso pelo remetente e a ausência de mudanças no conteúdo assinado durante o trânsito.

1. Examine uma mensagem real recebida e anote s= e d=.
2. Consulte selector._domainkey.domain diretamente no DNS.
3. Confira os servidores autoritativos, não só o painel do registrador.
4. Verifique se o fornecedor exige TXT ou CNAME.
5. Compare From com o domínio signatário para o alinhamento DMARC.
6. Teste novamente após encaminhadores, gateways ou programas de listas se a mensagem mudar no trânsito.

Se o envio direto passa, mas o encaminhado falha, o problema pode não ser o seletor: talvez uma alteração tenha invalidado a assinatura. As orientações do Google sobre encaminhamento explicam esse caso comum. Se você usa encaminhamento, leia também encaminhar e-mail de domínio para o Gmail.

Conclusão: o que lembrar sobre o seletor DKIM?

É a etiqueta que informa ao destinatário qual chave pública DKIM buscar no DNS. Lembrar dessa frase simplifica boa parte do diagnóstico.

Publicar o seletor correto no nome certo e assinar com ele é necessário, mas as chaves também precisam corresponder e o conteúdo assinado deve ser verificado. Se falhar, examine cabeçalhos primeiro, DNS depois e alterações no caminho por último. Separe seletores por remetente e faça rotações com nomes novos, evitando mudanças arriscadas em chaves ativas. Para simplificar e-mail multidomínio, o TrekMail oferece hospedagem, verificações DNS, ferramentas de migração e tarifa fixa sem cobrança por usuário, conforme a oferta atual.