Crea il nome host DNS DKIM e il formato del record TXT corretti per il tuo dominio e selettore. Incolla la chiave pubblica e pubblica il record.
Valori comuni: mail, google, s1, default. Usa il selettore indicato dal tuo provider di posta.
DKIM (DomainKeys Identified Mail) è un metodo di autenticazione email che consente al mittente di firmare crittograficamente ogni messaggio in uscita. Il server di posta ricevente verifica questa firma usando una chiave pubblica pubblicata nel DNS del mittente. Una firma DKIM valida dimostra due cose: il messaggio proviene davvero dal dominio dichiarato e non è stato alterato in transito.
A differenza di SPF, che confronta l'IP di invio con un elenco consentito, DKIM funziona allegando una firma digitale al messaggio stesso. Così la verifica DKIM sopravvive all'inoltro della posta, dove SPF spesso fallisce perché l'IP del server di inoltro non è nel record SPF originale.
Un record DKIM è un record DNS TXT pubblicato su un sottodominio specifico: selector._domainkey.yourdomain.com. Il selettore è un'etichetta che scegli tu: i valori comuni sono mail, google, s1 o default. Il valore del record inizia con v=DKIM1; k=rsa; p= seguito dalla chiave pubblica codificata in base64.
La chiave privata resta segreta sul tuo server di posta o è gestita dal tuo provider di email. La chiave pubblica è ciò che pubblichi nel DNS. I server riceventi usano la chiave pubblica per verificare le firme create con la chiave privata: il classico schema della crittografia a chiave pubblica.
La chiave pubblica DKIM viene generata dal tuo provider di posta quando attivi la firma DKIM. Ecco dove trovarla nei provider più comuni:
Usa una chiave da 2048 bit quando possibile: le chiavi da 1024 bit sono considerate deboli e alcuni sistemi di posta possono segnalarle. Ruota le chiavi DKIM periodicamente (almeno una volta all'anno) per limitare l'esposizione in caso di compromissione. Mantieni la chiave precedente nel DNS per alcuni giorni dopo la rotazione, così i messaggi ancora in transito possono essere verificati.
DKIM da solo non protegge l'header From visibile. Per completare l'autenticazione email, aggiungi una policy DMARC che allinei i risultati DKIM al dominio From. Conta anche una lista pulita: anche la posta autenticata finisce nello spam se viene respinta ripetutamente. Usa verifica email per rimuovere gli indirizzi non validi, oppure verifica liste grandi con verifica email in blocco.
Input di chiave e selettore
Un record DNS DKIM pubblica una chiave pubblica sotto un selettore. La chiave privata corrispondente deve restare nel sistema che firma i messaggi in uscita.
Un selettore come google, s1 o mail diventa selector._domainkey.example.com. Provider diversi e periodi di rotazione possono usare selettori diversi senza sostituire ogni chiave DKIM del dominio.
Scegli il selettore che la piattaforma di invio è configurata a inserire nel tag s= dell'header DKIM-Signature. Un record DNS sotto un selettore diverso non verrà mai interrogato per quel messaggio.
Il valore p= è la chiave pubblica codificata in base64 usata dai destinatari. La chiave privata firma i messaggi e deve restare segreta nel provider, nell'MTA o nel sistema di chiavi sicuro.
Questo generatore formatta il nome del proprietario DNS e il valore TXT intorno a una chiave pubblica. Non crea né installa la configurazione di firma privata usata dal tuo flusso di posta.
Anatomia del record
Il record DNS è breve, ma ogni campo è legato a una decisione di firma a livello di messaggio.
Il tag di versione distingue i dati della chiave DKIM da altri contenuti TXT. k=rsa identifica il tipo di chiave quando si usa RSA, e p= contiene il materiale della chiave pubblica senza header PEM né testo della chiave privata.
Il destinatario combina il dominio di firma in d= con il selettore in s= per costruire la query DNS. Il nome del proprietario generato deve corrispondere esattamente a quella coppia, incluso qualsiasi sottodominio di invio.
I provider DNS a volte spezzano un valore DKIM lungo in più stringhe di caratteri tra virgolette. Il DNS concatena quelle stringhe nella risposta TXT; le virgolette e gli spazi mostrati nel pannello di controllo non fanno automaticamente parte della chiave pubblica.
Il DNS può contenere un record valido mentre il mittente omette DKIM-Signature, firma con un altro selettore, usa un dominio non corrispondente o fallisce la canonicalizzazione. Conferma il percorso del messaggio dopo la pubblicazione.
Flusso di pubblicazione
Tieni sincronizzate la pubblicazione DNS e la firma del sistema di posta in quattro passaggi espliciti.
Usa la configurazione di autenticazione del dominio del provider o gli strumenti di chiavi supportati dal tuo server di posta. Preferisci una dimensione di chiave attuale supportata sia dal mittente sia dall'host DNS e non incollare mai la chiave privata in questa pagina.
Inserisci il dominio di invio esatto, il selettore e la chiave pubblica. Copia proprietario e valore separatamente, perché le interfacce DNS differiscono sul fatto di aggiungere automaticamente il nome della zona.
Attendi il TTL DNS applicabile, poi usa il Controllo record DKIM per confermare che selector._domainkey restituisca la chiave pubblica attesa.
Controlla gli header DKIM-Signature e Authentication-Results ricevuti per il dominio d= atteso, il selettore s= e dkim=pass. Un successo DNS senza pass a livello di messaggio è una pubblicazione incompleta.
Confini di sicurezza
Il record pubblico è solo la metà di DKIM rivolta al destinatario.
Archiviazione della chiave privata, controllo degli accessi, configurazione del servizio di firma e rotazione in caso di incidente spettano al provider o al server di posta. Esporre la chiave privata consente a un altro sistema di creare firme che i destinatari potrebbero considerare attendibili.
Il sistema di posta decide quali header e quale rappresentazione del corpo firmare. Gli intermediari che modificano il contenuto firmato possono invalidare la firma anche se la chiave DNS è corretta.
Pubblica un record SPF per descrivere i mittenti dell'envelope consentiti. DKIM e SPF forniscono prove diverse e andrebbero pubblicati insieme.
Usa il Generatore DMARC per indicare come i destinatari devono trattare la posta quando SPF e DKIM allineati non supportano il dominio From visibile.
Riferimento ufficiale
Lo standard collega le chiavi DNS pubbliche ai campi di firma aggiunti a ogni messaggio.
La RFC 6376 dell'IETF definisce lo spazio dei nomi _domainkey, la ricerca del selettore, i tag DKIM-Signature, la canonicalizzazione, la firma e il comportamento di verifica.
Controlla la chiave pubblica con il Controllo DKIM, ispeziona gli header dei messaggi reali e conferma l'allineamento con il Controllo DMARC.
Scegli lo strumento successivo per tipo di evidenza: destinatario, individuazione, DNS e infrastruttura, o workflow del mittente.
Strumenti gratuiti
Controlla il record DKIM per qualsiasi dominio e selettore. Vedi la chiave pubblica e se la firma è configurata correttamente. Gratuito, senza registrazione.
Evidenza su dominio o infrastruttura — non prova della casella.
Strumenti gratuiti
Genera in pochi secondi un record DNS SPF valido per il tuo dominio. Aggiungi server, direttive include e scegli la policy. Gratis, senza registrazione.
Evidenza su dominio o infrastruttura — non prova della casella.
Strumenti gratuiti
Crea un record DNS TXT DMARC con politica, allineamento e report. Generatore gratuito per l'autenticazione email del dominio.
Evidenza su dominio o infrastruttura — non prova della casella.
Strumenti gratuiti
Controlla i record A, AAAA, MX, TXT, NS o CNAME di qualsiasi dominio. Lookup DNS in tempo reale con risultati immediati. Gratuito, senza registrazione.
Evidenza su dominio o infrastruttura — non prova della casella.
Strumenti email
Esegui un test di deliverability email su un campione reale. Rivedi evidenze SPF, DKIM, DMARC, DNS, blacklist, filtri antispam, header e contenuto.
Diagnostica mittente o messaggio — non individuazione indirizzi.
Strumenti di verifica email
Controlla se un indirizzo email è valido con un verificatore gratuito che esegue controlli di sintassi, MX, mailbox SMTP, monouso, ruolo e catch-all.
Evidenza sul destinatario — non sul mittente o sulla configurazione DNS.
Un selettore DKIM è un nome breve (come mail o google) che punta a una chiave pubblica specifica nel DNS. Ti consente di pubblicare più chiavi per lo stesso dominio, per esempio una per Google Workspace e un'altra per un ESP di marketing.
Pubblicalo come record TXT su selector._domainkey.yourdomain.com. Sostituisci selector con il valore indicato dal provider e yourdomain.com con il dominio di invio.
SPF controlla l'IP di connessione. Dopo un inoltro l'IP cambia e SPF spesso fallisce. DKIM firma il contenuto del messaggio e gli header selezionati, quindi la verifica continua a funzionare dopo molti inoltri.
Preferisci chiavi da 2048 bit se il provider DNS supporta valori TXT lunghi. Alcuni host DNS più datati richiedono di spezzare i record lunghi; la maggior parte dei provider moderni gestisce bene le chiavi da 2048 bit.
No. Usali entrambi. SPF autorizza gli IP di invio; DKIM firma i messaggi. DMARC allinea poi quei risultati al dominio From e indica ai destinatari cosa fare in caso di fallimento.
Invia un messaggio di prova a una casella che controlli, apri gli header originali e cerca dkim=pass in Authentication-Results. Puoi anche usare il nostro strumento Analizzatore header email.
L'autenticazione protegge il dominio. Le liste pulite proteggono la reputazione. BillionVerify verifica gli indirizzi con accuratezza a livello SMTP.
600 crediti gratuiti/mese + bonus di 20/giorno al login · Accuratezza SMTP 99,9% · Accesso API immediato · Nessuna carta di credito
