DKIM no Google Workspace: o registro, a espera e os testes

Para configurar o DKIM no Google Workspace, abra o Admin Console em Menu > Apps > Google Workspace > Gmail > Autenticar e-mail (em inglês, Menu > Apps > Google Workspace > Gmail > Authenticate email), gere uma chave de 2048 bits, publique-a como registro TXT em google._domainkey.seudominio.com e depois volte e clique em Iniciar autenticação (Start authentication). Espere até 48 horas e confirme verificando se os cabeçalhos de uma mensagem enviada mostram dkim=pass para o seu próprio domínio.

Os passos abaixo seguem a página de ajuda do Google Set up DKIM, lida em 6 de outubro de 2026, e acrescentam os testes que mostram se deu certo de verdade. Se o seu domínio já tem uma chave do Google e você quer substituí-la, isso é rotação, explicada em tamanho e rotação de chaves DKIM. (As citações abaixo são traduções livres dos originais em inglês.)

Antes de começar

Você precisa de um login de administrador no Admin Console, acesso ao DNS do seu domínio e o Gmail ativado há pelo menos 24 horas. A página de ajuda do Google é explícita sobre o último item: "depois de ativar o Gmail para a sua organização, é preciso esperar de 24 a 72 horas para conseguir a sua chave DKIM". Se você acabou de migrar um domínio para o Workspace e a página Autenticar e-mail não gera um registro, esse período de espera costuma ser o motivo.

Também vale saber por que você está fazendo isso. As diretrizes para remetentes de e-mail do Google exigem que todo remetente use SPF ou DKIM, e que remetentes em massa (mais de 5.000 mensagens por dia para o Gmail) tenham SPF, DKIM e DMARC, com "o domínio no cabeçalho From: do remetente ... alinhado com o domínio do SPF ou com o domínio do DKIM". Uma assinatura DKIM do seu próprio domínio é o alinhamento que sobrevive ao encaminhamento, o que o SPF não consegue.

Passo 1: gere a chave

No Admin Console, vá em Menu > Apps > Google Workspace > Gmail > Autenticar e-mail, escolha o domínio e clique em Gerar novo registro (Generate New Record). Ele vai pedir duas coisas:

• Tamanho da chave. A página do Google diz para escolher 2048 "se o seu provedor de domínio aceitar chaves de 2048 bits", e 1024 caso contrário. As diretrizes para remetentes do Gmail exigem "uma chave DKIM de 1024 bits ou mais" e recomendam 2048.
• Prefixo do seletor. O padrão é google, e o Google recomenda mantê-lo. Use outro prefixo só se o seu domínio já tiver um registro em google._domainkey, por exemplo de uma configuração anterior que você quer manter durante uma troca.

Se você administra vários domínios em uma mesma conta do Workspace, repita isso para cada um. A página do Google diz: "É preciso obter uma chave DKIM exclusiva no Admin Console para cada domínio."

Passo 2: publique o registro TXT

O console mostra um nome de host e um valor TXT; copie os dois exatamente no seu provedor de DNS como registro TXT.

Campo	O que o Google mostra	O que preencher
Nome do host DNS	google._domainkey	google._domainkey (a maioria dos provedores de DNS acrescenta o seu domínio automaticamente)
Tipo de registro	TXT	TXT
Valor do registro TXT	Começa com v=DKIM1; k=rsa; p=	A string inteira, sem alterações

Duas coisas dão errado aqui mais do que qualquer outra.

O nome do host fica com o domínio duas vezes. Se o seu provedor de DNS acrescenta a zona automaticamente e você digita google._domainkey.example.com, o registro acaba em google._domainkey.example.com.example.com. Preencha só google._domainkey, a menos que o provedor peça o nome completo.

A chave de 2048 bits é longa demais para uma única string. A página do Google Troubleshoot DKIM issues diz que a maioria dos registros TXT "pode ter até 255 caracteres" e que uma chave de 2048 bits não cabe em uma única string dentro desse limite. A solução indicada é dividir a chave em várias strings entre aspas no mesmo valor do registro TXT. Os receptores juntam as strings de novo. Dá para ver como isso fica em um domínio real: quando rodamos dig TXT google._domainkey.zapier.com em 6 de outubro de 2026, a resposta veio como duas strings entre aspas, "v=DKIM1; k=rsa; p=MIIBIjANBg..." seguida de "7ixR8ZRj...", que é uma chave de 2048 bits publicada em duas partes.

Se o seu provedor de DNS rejeita valores TXT longos e não aceita strings divididas, a página de solução de problemas do Google sugere usar uma chave de 1024 bits ou perguntar ao provedor se ele aceita registros com mais de 255 caracteres.

Passo 3: inicie a autenticação

Com o registro publicado, volte em Autenticar e-mail, selecione o mesmo domínio e clique em Iniciar autenticação. Quando estiver funcionando, o Google diz que o status no topo da página muda para Authenticating email with DKIM (autenticando e-mail com DKIM).

Não se assuste se não mudar na hora. A página de configuração do Google diz que "a autenticação DKIM pode levar até 48 horas para começar a funcionar" e que o console "pode continuar mostrando esta mensagem por até 48 horas: é preciso atualizar os registros DNS deste domínio" mesmo com o registro correto. Confira o registro você mesmo em vez de esperar pelo console.

Passo 4: confira se funciona

Confirme que o registro está visível no DNS e depois confirme que uma mensagem real está assinada pelo seu domínio. Um registro que existe não é o mesmo que um e-mail que passa.

Pelo terminal:

dig +short TXT google._domainkey.yourdomain.com

Você deve receber uma string que começa com v=DKIM1. Se não vier nada, o registro está faltando, com o nome errado ou ainda não se propagou. O verificador de DKIM faz a mesma consulta para um domínio e um seletor, se você preferir não usar o terminal.

Depois envie uma mensagem de uma caixa do Workspace para um endereço em outro provedor e abra os cabeçalhos originais. Procure a linha Authentication-Results. A ajuda do Google diz para procurar DKIM=pass ou DKIM=OK. O que importa para o DMARC é qual domínio passou, mostrado como header.d= ou header.i=@:

Authentication-Results: mx.example.net;
  dkim=pass header.d=yourdomain.com header.s=google

Se header.s=google e header.d= for o seu domínio, a configuração está pronta. Se a assinatura que passou for de outro domínio, a sua própria chave ainda não está assinando. Nosso guia para ler cabeçalhos de e-mail explica o resto desse bloco.

Erros comuns depois da configuração

A maioria das falhas depois de uma configuração que parece correta vem de algo que mexe na mensagem depois que o Google a assina, ou de assinaturas demais. A página de solução de problemas do Google lista os casos que vale conhecer:

O que você vê	O que significa
Autenticar e-mail mostra o nome do host e o valor em branco	Ainda não foi gerado nenhum registro DKIM para esse domínio
dkim=fail, motivo "body hash did not verify" (o hash do corpo não foi verificado)	A mensagem foi alterada no caminho, por exemplo por um gateway de saída, uma ferramenta de rodapé ou um serviço de aviso legal
dkim=neutral	Muitas vezes, encaminhamento por um serviço que altera o conteúdo, ou uma assinatura válida que não está entre as cinco primeiras verificadas
O DMARC falha embora uma assinatura passe	O Gmail avalia só as cinco primeiras assinaturas DKIM; uma que passa mais abaixo é ignorada

A última linha importa se o e-mail passa por vários sistemas que acrescentam cada um a sua assinatura. A página de solução de problemas do Google também pede para conferir se os serviços que enviam em seu nome não usam a tag de tamanho do DKIM (l=), que a RFC 6376 trata como uma fraqueza de segurança porque permite acrescentar conteúdo depois da parte assinada.

Alinhamento DMARC e seus outros remetentes

A chave do Google só assina os e-mails que saem pelo Gmail, então todo outro serviço que envia em nome do seu domínio precisa da própria configuração de DKIM. Plataformas de newsletter, CRMs, help desks e sistemas de cobrança assinam cada um com a própria chave. A maioria fornece um registro CNAME ou TXT para publicar com o próprio nome de seletor, que pode ficar ao lado de google._domainkey sem conflito, porque o seletor indicado em cada assinatura diz aos receptores qual chave buscar.

Para o DMARC, a assinatura tem que ser de um domínio que corresponda ao seu endereço From. Pela RFC 7489, o alinhamento DKIM é relaxado por padrão, então uma assinatura de mail.seudominio.com se alinha com um From de seudominio.com, porque os dois compartilham o domínio organizacional. Uma assinatura com o domínio do próprio ESP não se alinha, mesmo que passe. Um ESP que assina só com o próprio domínio vai mostrar dkim=pass nos cabeçalhos e ainda assim falhar no DMARC.

Antes de apertar o DMARC, liste todos os serviços que enviam em nome do seu domínio e confira os cabeçalhos de cada um do mesmo jeito. Esse inventário é o primeiro passo para levar o DMARC de p=none para p=reject. Se você ainda não publicou nenhum registro DMARC, o gerador de DMARC monta um registro inicial com p=none.

Checklist prático

1. Espere de 24 a 72 horas depois de ativar o Gmail antes de tentar gerar uma chave.
2. Gere uma chave de 2048 bits em Menu > Apps > Google Workspace > Gmail > Autenticar e-mail, mantendo o prefixo google, a menos que ele já esteja em uso.
3. Publique o registro TXT em google._domainkey, sem o domínio duplicado, dividindo o valor em strings entre aspas se o provedor exigir.
4. Clique em Iniciar autenticação e espere até 48 horas.
5. Confira com dig e depois confira uma mensagem real procurando dkim=pass com o seu domínio em header.d=.
6. Configure o DKIM separadamente para cada um dos outros remetentes e só então trabalhe no DMARC.

Para conferir ao mesmo tempo o resto da autenticação do seu domínio, a auditoria de entregabilidade consulta MX, SPF, DKIM, DMARC e a situação em blocklists de uma vez só.