Crie o nome de host DNS DKIM e o formato de registro TXT corretos para seu domínio e seletor. Cole a chave pública e publique.
Valores comuns: mail, google, s1, default. Use o seletor indicado pelo seu provedor de e-mail.
DKIM (DomainKeys Identified Mail) é um método de autenticação de e-mail que permite ao remetente assinar criptograficamente cada mensagem de saída. O servidor de e-mail receptor verifica essa assinatura com uma chave pública publicada no DNS do remetente. Uma assinatura DKIM válida prova duas coisas: a mensagem realmente veio do domínio declarado e a mensagem não foi alterada em trânsito.
Ao contrário do SPF, que confere o IP de envio com uma lista permitida, o DKIM funciona anexando uma assinatura digital à própria mensagem. Isso significa que a verificação DKIM sobrevive ao encaminhamento de e-mail, onde o SPF costuma falhar porque o IP do servidor de encaminhamento não está no registro SPF original.
Um registro DKIM é um registro DNS TXT publicado em um subdomínio específico: selector._domainkey.yourdomain.com. O seletor é um rótulo que você escolhe — valores comuns são mail, google, s1 ou default. O valor do registro começa com v=DKIM1; k=rsa; p= seguido da sua chave pública em base64.
A chave privada permanece em segredo no seu servidor de e-mail ou é gerenciada pelo seu provedor de e-mail. A chave pública é o que você publica no DNS. Os servidores receptores usam a chave pública para verificar as assinaturas criadas pela chave privada — o padrão clássico de criptografia de chave pública.
Sua chave pública DKIM é gerada pelo provedor de e-mail quando você ativa a assinatura DKIM. Veja onde encontrá-la nos provedores mais comuns:
Use um comprimento de chave de 2048 bits sempre que possível — chaves de 1024 bits são consideradas fracas e podem ser sinalizadas por alguns sistemas de e-mail. Rotacione as chaves DKIM periodicamente (pelo menos uma vez por ano) para limitar a exposição se uma chave for comprometida. Mantenha a chave antiga no DNS por alguns dias após a rotação para permitir a verificação de mensagens em trânsito.
O DKIM sozinho não protege o cabeçalho From visível. Para completar a configuração de autenticação de e-mail, adicione uma política DMARC que alinhe os resultados DKIM com o domínio From. Uma lista de e-mails limpa também importa — mesmo o e-mail autenticado cai no spam se houver devoluções repetidas. Use verificação de e-mail para remover endereços inválidos, ou verifique listas grandes com verificação de e-mail em massa.
Entradas de chave e seletor
Um registro DNS DKIM publica uma chave pública sob um seletor. A chave privada correspondente deve permanecer no sistema que assina as mensagens de saída.
Um seletor como google, s1 ou mail torna-se selector._domainkey.example.com. Provedores diferentes e períodos de rotação podem usar seletores diferentes sem substituir todas as chaves DKIM do domínio.
Escolha o seletor que a plataforma de envio está configurada para colocar na tag s= do cabeçalho DKIM-Signature. Um registro DNS sob outro seletor nunca será consultado para essa mensagem.
O valor p= é a chave pública em base64 usada pelos destinatários. A chave privada assina as mensagens e deve permanecer em segredo no provedor, no agente de transferência de e-mail ou no sistema seguro de chaves.
Este gerador formata o nome do proprietário DNS e o valor TXT em torno de uma chave pública. Ele não cria nem instala a configuração privada de assinatura usada pelo seu fluxo de e-mail.
Anatomia do registro
O registro DNS é pequeno, mas cada campo se liga a uma decisão de assinatura no nível da mensagem.
A tag de versão distingue os dados de chave DKIM de outro conteúdo TXT. k=rsa identifica o tipo de chave quando RSA é usado, e p= transporta o material da chave pública sem cabeçalhos PEM nem texto de chave privada.
O destinatário combina o domínio de assinatura em d= com o seletor em s= para construir a consulta DNS. O nome do proprietário gerado deve corresponder exatamente a esse par, inclusive qualquer subdomínio de envio.
Provedores DNS às vezes dividem um valor DKIM longo em várias cadeias de caracteres entre aspas. O DNS concatena essas cadeias na resposta TXT; aspas e espaçamento mostrados no painel de controle não fazem automaticamente parte da chave pública.
O DNS pode conter um registro válido enquanto o remetente omite DKIM-Signature, assina com outro seletor, usa um domínio incompatível ou falha na canonicalização. Confirme o caminho da mensagem após a publicação.
Fluxo de implantação
Mantenha a publicação no DNS e a assinatura no sistema de e-mail sincronizadas em quatro etapas explícitas.
Use a configuração de autenticação de domínio do provedor ou as ferramentas de chave suportadas pelo servidor de e-mail. Prefira um tamanho de chave atual aceito pelo remetente e pelo host DNS, e nunca cole a chave privada nesta página.
Informe o domínio de envio exato, o seletor e a chave pública. Copie o proprietário e o valor em separado, porque as interfaces DNS diferem quanto a anexar automaticamente o nome da zona.
Aguarde o TTL DNS aplicável e use o Verificador de registro DKIM para confirmar que selector._domainkey retorna a chave pública esperada.
Verifique os cabeçalhos DKIM-Signature e Authentication-Results recebidos quanto ao domínio d= esperado, ao seletor s= e a dkim=pass. Sucesso no DNS sem aprovação no nível da mensagem é uma implantação incompleta.
Limites de segurança
O registro público é apenas a metade do DKIM voltada ao destinatário.
O armazenamento da chave privada, o controle de acesso, a configuração do serviço de assinatura e a rotação em incidentes cabem ao provedor ou ao servidor de e-mail. Expor a chave privada permite que outro sistema crie assinaturas que os destinatários podem confiar.
O sistema de e-mail decide quais cabeçalhos e qual representação do corpo assinar. Intermediários que modificam o conteúdo assinado podem invalidar a assinatura mesmo quando a chave DNS está correta.
Publique um registro SPF para descrever os remetentes de envelope permitidos. DKIM e SPF fornecem evidências diferentes e devem ser implementados juntos.
Use o Gerador DMARC para indicar como os destinatários devem tratar o e-mail quando o SPF e o DKIM alinhados não sustentam o domínio From visível.
Referência normativa
A norma liga as chaves públicas no DNS aos campos de assinatura adicionados a cada mensagem.
A RFC 6376 da IETF define o namespace _domainkey, a consulta do seletor, as tags DKIM-Signature, a canonicalização, a assinatura e o comportamento de verificação.
Verifique a chave pública com o Verificador DKIM, inspecione os cabeçalhos reais da mensagem e confirme o alinhamento com o Verificador DMARC.
Escolha a próxima ferramenta pelo tipo de evidência: destinatário, descoberta, DNS e infraestrutura, ou fluxo do remetente.
Ferramentas gratuitas
Verifique o registro DKIM de qualquer domínio e seletor. Veja a chave pública completa e se a assinatura DKIM está bem configurada. Grátis, sem cadastro.
Evidência de domínio ou infraestrutura — não prova da caixa de correio.
Ferramentas gratuitas
Gere um registro DNS SPF válido para o seu domínio em segundos. Adicione servidores de email, diretivas include e escolha a política. Grátis, sem cadastro.
Evidência de domínio ou infraestrutura — não prova da caixa de correio.
Ferramentas gratuitas
Crie um registro DNS TXT de DMARC com política, alinhamento e opções de relatórios. Gerador gratuito para autenticação de e-mail do domínio.
Evidência de domínio ou infraestrutura — não prova da caixa de correio.
Ferramentas gratuitas
Consulte registros A, AAAA, MX, TXT, NS ou CNAME de qualquer domínio. Faça uma consulta DNS em tempo real com resultados imediatos. Grátis, sem cadastro.
Evidência de domínio ou infraestrutura — não prova da caixa de correio.
Ferramentas de email
Execute um teste de entregabilidade em uma amostra real. Revise evidências de SPF, DKIM, DMARC, DNS, blacklist, filtro de spam, cabeçalhos e conteúdo.
Diagnóstico do remetente ou da mensagem — não descoberta de endereços.
Ferramentas de verificação de email
Verifique se um e-mail é válido com um verificador grátis de sintaxe, MX, SMTP da caixa, descartável, role e catch-all.
Evidência do destinatário — não do remetente nem da configuração DNS.
Um seletor DKIM é um nome curto (como mail ou google) que aponta para uma chave pública específica no DNS. Ele permite publicar várias chaves para o mesmo domínio — por exemplo, uma para o Google Workspace e outra para um ESP de marketing.
Publique-o como um registro TXT em selector._domainkey.yourdomain.com. Substitua selector pelo valor que o provedor informou e yourdomain.com pelo seu domínio de envio.
O SPF verifica o IP de conexão. Após um encaminhamento, o IP de conexão muda e o SPF costuma falhar. O DKIM assina o conteúdo da mensagem e cabeçalhos selecionados, então a verificação ainda funciona após vários encaminhamentos.
Prefira chaves de 2048 bits quando o provedor DNS aceitar valores TXT longos. Alguns hosts DNS mais antigos exigem dividir registros longos; a maioria dos provedores modernos lida bem com chaves de 2048 bits.
Não. Use os dois. O SPF autoriza os IPs de envio; o DKIM assina as mensagens. O DMARC então alinha esses resultados com o domínio From e indica aos destinatários o que fazer em caso de falha.
Envie uma mensagem de teste para uma caixa de correio que você controla, abra os cabeçalhos brutos e procure dkim=pass em Authentication-Results. Você também pode usar nossa ferramenta Analisador de Cabeçalhos de E-mail.
A autenticação protege seu domínio. Listas limpas protegem sua reputação. O BillionVerify verifica endereços com precisão em nível SMTP.
600 créditos/mês + 20/dia de bônus de login · 99,9% de precisão SMTP · Acesso imediato à API · Sem cartão de crédito
