Como verificar se o DKIM está configurado depois de trocar de provedor de e-mail

Depois de uma troca, verifique se todo domínio de envio publica a chave DKIM do novo provedor, no seletor com que esse provedor assina. Informe esse seletor no verificador de DKIM em massa e cole todos os seus domínios: cada linha mostra se a chave está lá, o tamanho dela e qualquer erro, como um CNAME que não aponta para nada.

Verificar o DKIM de uma lista de domínios →

Verifique em massa

1. Abra o verificador de DKIM em massa.
2. Cole os domínios de envio, um por linha: até 100 por rodada, ou 500 depois de um login gratuito com o Google.
3. Informe o seletor do novo provedor: google para o Google Workspace, selector1, selector2 para o Microsoft 365, ou o que o seu ESP mostra na página de configuração de DNS. Até três, separados por vírgulas. Deixe em branco para testar 22 seletores comuns.
4. Clique em Check DKIM (verificar DKIM).
5. Leia cada linha: Key found, Weak key, Testing, Revoked, Broken, CNAME to nothing ou No key found. Baixe o CSV.

Faça à mão

printf "github.com\nstripe.com\nnotion.so\n" > domains.txt
sel=google

while read -r d; do
  key=$(dig +short txt "$sel._domainkey.$d" | grep -v '\.$' | tr -d '" \n')
  if [ -z "$key" ]; then echo "$d,$sel,NO KEY"; continue; fi
  bits=$(echo "$key" | sed 's/.*p=//; s/;.*//' | base64 -d 2>/dev/null \
    | openssl pkey -pubin -inform DER -noout -text 2>/dev/null | sed -n 's/.*(\([0-9]*\) bit).*/\1/p')
  echo "$d,$sel,${bits:-unreadable} bit"
done < domains.txt
# github.com,google,2048 bit
# stripe.com,google,1024 bit
# notion.so,google,NO KEY

Rodamos isso em 9 de novembro de 2026. O grep -v '\.$' descarta a linha de CNAME que o dig mostra quando o seletor é delegado, para que só a chave seja decodificada. NO KEY para notion.so significa apenas que ele não publica nada no seletor google; ele pode assinar com outro.

Seletores que apontam para um provedor aparecem como CNAMEs:

dig +short cname s1._domainkey.github.com
# s1.domainkey.u51742174.wl175.sendgrid.net.

Os passos que as pessoas esquecem depois de uma troca

• Ativar a assinatura. A página Set up DKIM do Google manda adicionar o registro DNS primeiro e clicar em Start Authentication depois, e diz que pode levar até 48 horas para começar a funcionar. O Microsoft 365 manda publicar os CNAMEs e depois ativar a assinatura; veja o guia de DKIM da Microsoft.
• O destino certo da Microsoft. O guia da Microsoft diz que domínios personalizados adicionados desde maio de 2025 recebem destinos de CNAME terminados em dkim.mail.microsoft, enquanto domínios existentes mantêm o formato antigo onmicrosoft.com, e os dois não podem coexistir para o mesmo seletor. Copie os valores que o portal do Defender fornece, não os de uma configuração antiga.
• Tamanho da chave. A RFC 8301 diz que os signatários "MUST use RSA keys of at least 1024 bits" (precisam usar chaves RSA de pelo menos 1024 bits) e "SHOULD use RSA keys of at least 2048 bits" (deveriam usar chaves RSA de pelo menos 2048 bits). A página do Google diz para escolher 2048 se o seu provedor de DNS suportar.
• O seletor do provedor antigo. Deixe-o no lugar até o provedor antigo parar de enviar, para que as mensagens ainda em trânsito sejam verificadas. Depois, remova-o ou publique-o vazio (p=), o que a RFC 6376 define como chave revogada.
• Prova com uma mensagem real. Envie uma mensagem para você mesmo e leia o cabeçalho DKIM-Signature: s= é o seletor, d= o domínio que assinou. Se d= for o domínio do provedor em vez do seu, o DKIM não vai se alinhar para o DMARC.

Para a configuração por provedor, veja configuração do DKIM no Google Workspace, configuração do DKIM no Microsoft 365 e DKIM para cada serviço que envia como o seu domínio.

Próximo passo: verifique a lista antes do primeiro envio

A troca de provedor é quando os problemas antigos da lista aparecem: a nova plataforma julga você pelos primeiros envios. Envie a lista em /verify para checar cada caixa postal sem enviar nada. As primeiras 100 checagens são grátis com login do Google, sem cartão.

Pro, US$ 39 por mês: verificação de e-mails ilimitada.* Nunca medida, nunca cortada. Veja os preços.

*Uso justo: as primeiras 100.000 verificações do mês em velocidade máxima, depois mais devagar, nunca cortado.

Leia também: a entregabilidade caiu depois de trocar de ESP, vai trocar de plataforma de e-mail? verifique a lista primeiro.