Strumento gratuito

Generatore record DKIM

Crea il nome host DNS DKIM e il formato di record TXT corretti per dominio e selettore. Incolla la chiave pubblica e pubblica.

Genera il formato del record DNS DKIM

Nome selettore

Valori comuni: mail, google, s1, default. Usa il selettore indicato dal provider di posta.

Dominio

Cos’è DKIM e come funziona?

DKIM (DomainKeys Identified Mail) è un metodo di autenticazione email che consente al mittente di firmare crittograficamente ogni messaggio in uscita. Il server di posta ricevente verifica questa firma con una chiave pubblica pubblicata nel DNS del mittente. Una firma DKIM valida prova due cose: il messaggio proviene davvero dal dominio dichiarato e non è stato alterato in transito.

A differenza di SPF, che controlla l’IP di invio rispetto a un elenco consentito, DKIM allega una firma digitale al messaggio stesso. Così la verifica DKIM sopravvive all’inoltro della posta, dove SPF spesso fallisce perché l’IP del server di inoltro non è nel record SPF originale.

Capire il formato del record DNS DKIM

Un record DKIM è un record DNS TXT pubblicato su un sottodominio specifico: selector._domainkey.yourdomain.com. Il selettore è un’etichetta che scegli — valori comuni sono mail, google, s1 o default. Il valore inizia con v=DKIM1; k=rsa; p= seguito dalla chiave pubblica codificata in base64.

La chiave privata resta segreta sul server di posta o è gestita dal provider email. La chiave pubblica è ciò che pubblichi nel DNS. I server riceventi usano la chiave pubblica per verificare le firme create dalla privata — il classico schema a chiave pubblica.

Dove trovare la chiave pubblica DKIM

La chiave pubblica DKIM è generata dal provider di posta quando attivi la firma DKIM. Ecco dove trovarla presso i provider più comuni:

Google Workspace: console Admin → App → Google Workspace → Gmail → Autentica email. Genera una nuova chiave e copia il valore del record TXT.
Microsoft 365: centro di amministrazione Exchange → Protezione → DKIM. Abilita DKIM per il dominio e copia i record CNAME (Microsoft usa CNAME, non TXT diretti).
Mailchimp: Account → Domini → Verifica un dominio. Mailchimp fornisce il valore del record TXT DKIM da aggiungere al DNS.
SendGrid: Settings → Sender Authentication → Domain Authentication. SendGrid genera il record TXT DKIM completo per te.
Self-hosted (Postfix, Exim): usa opendkim-genkey per generare una coppia di chiavi. Il file della chiave pubblica contiene il valore del record TXT.

Best practice DKIM

Usa una lunghezza di chiave di 2048 bit quando possibile — le chiavi a 1024 bit sono considerate deboli e possono essere segnalate da alcuni sistemi di posta. Ruota le chiavi DKIM periodicamente (almeno una volta l’anno) per limitare l’esposizione se una chiave viene compromessa. Mantieni la vecchia chiave nel DNS per alcuni giorni dopo la rotazione per consentire la verifica dei messaggi in volo.

DKIM da solo non protegge l’header From visibile. Per completare l’autenticazione email, aggiungi una policy DMARC che allinei i risultati DKIM al dominio From. Conta anche una lista pulita — anche la posta autenticata finisce in spam se rimbalza ripetutamente. Usa verifica email per rimuovere indirizzi non validi, o verifica liste grandi con verifica email in bulk.

Domande frequenti

1. Cos’è un selettore DKIM?

Un selettore DKIM è un nome breve (come mail o google) che punta a una specifica chiave pubblica nel DNS. Ti permette di pubblicare più chiavi per lo stesso dominio — ad esempio una per Google Workspace e un’altra per un ESP di marketing.

2. Dove pubblico il record TXT DKIM?

Pubblicalo come record TXT su selector._domainkey.yourdomain.com. Sostituisci selector con il valore del provider e yourdomain.com con il dominio di invio.

3. Perché DKIM resiste all’inoltro meglio di SPF?

SPF controlla l’IP di connessione. Dopo un inoltro, l’IP cambia e SPF spesso fallisce. DKIM firma il contenuto del messaggio e header selezionati, quindi la verifica funziona ancora dopo molti inoltri.

4. Devo usare chiavi DKIM a 1024 o 2048 bit?

Preferisci chiavi a 2048 bit se il provider DNS supporta valori TXT lunghi. Alcuni host DNS più vecchi richiedono di spezzare record lunghi; la maggior parte dei provider moderni gestisce bene le chiavi a 2048 bit.

5. DKIM sostituisce SPF?

No. Usa entrambi. SPF autorizza gli IP di invio; DKIM firma i messaggi. DMARC allinea quei risultati al dominio From e dice ai ricevitori cosa fare in caso di fallimento.

6. Come so che DKIM funziona?

Invia un messaggio di test a una casella che controlli, apri gli header grezzi e cerca dkim=pass in Authentication-Results. Puoi anche usare il nostro strumento Email Header Analyzer.