Verificador de DKIM: consulte e teste o registro DKIM de um domínio

É a chave pública que um domínio publica no DNS para os destinatários verificarem as assinaturas dele. O DKIM (DomainKeys Identified Mail) permite que o servidor de envio assine cada mensagem com uma chave privada. A chave pública correspondente é publicada como registro TXT, e o destinatário usa essa chave para confirmar duas coisas: que a mensagem foi assinada pelo domínio da tag d= e que os cabeçalhos e o corpo assinados não mudaram no caminho.

Um registro típico é assim: v=DKIM1; k=rsa; p=MIIBIjANBgkq.... v= é a versão, k= o tipo de chave (RSA, a não ser que diga ed25519) e p= a chave pública em base64, a única tag obrigatória. Entre as opcionais estão as flags t= e a h=, que restringe os algoritmos de hash com que a chave pode ser usada.

O seletor é a primeira parte do nome, então uma chave em google._domainkey.example.com tem o seletor google. Seletores não podem ser listados pelo DNS, por isso esta ferramenta testa os nomes fixos que os provedores usam. Se nenhum responder, a busca ampliada do DKIM selector finder (em inglês) testa cerca de 80. Se ela também não achar nada, o jeito confiável é uma mensagem que você enviou: abra os cabeçalhos originais e procure DKIM-Signature; s= é o seletor e d= o domínio que assina.

O Google Workspace usa por padrão o seletor google; o registro é gerado no Admin Console, em Apps, Google Workspace, Gmail, Autenticar e-mail, onde dá para escolher uma chave de 2048 ou 1024 bits. O Microsoft 365 usa selector1 e selector2, publicados como CNAMEs que apontam para o DNS da Microsoft e alternam entre si. O Mailchimp usa k2 e k3, o SendGrid s1 e s2, o Brevo brevo1 e brevo2. Amazon SES, Postmark e HubSpot geram seletores por conta que não dá para adivinhar, então pegue esses no cabeçalho DKIM-Signature.

Comece pelo veredito de cada chave. OK quer dizer que o registro é lido corretamente, a chave decodifica e tem pelo menos 2048 bits (ou é Ed25519). Weak é uma chave RSA de 1024 bits: os destinatários ainda aceitam, mas a recomendação atual é 2048. Testing quer dizer que t=y está definido. Revoked quer dizer que p= está vazio. Error quer dizer que algo vai impedir a verificação das assinaturas.

O tamanho é calculado decodificando a própria chave, não estimado pelo comprimento do registro. Um domínio pode ter várias chaves válidas ao mesmo tempo, e isso é normal: cada serviço que envia em seu nome assina com o próprio seletor, então encontrar google, s1 e k2 juntos só significa que Google Workspace, SendGrid e Mailchimp estão configurados.

Nenhuma chave encontrada: ou o seletor é personalizado, ou o DKIM nunca foi ativado no provedor. Publicar o registro DNS é só metade da configuração; a maioria dos provedores também exige ligar a assinatura no painel deles depois que o registro é verificado.

Chave fraca de 1024 bits: gere uma nova de 2048 bits com um seletor novo, publique, mude a assinatura para ela e apague o registro antigo quando o e-mail já estiver saindo assinado com a nova. Atenção: o comando New-DkimSigningConfig do PowerShell da Microsoft usa 1024 bits por padrão, a não ser que você passe -KeySize 2048.

Chave dividida em várias strings: uma string TXT aceita no máximo 255 caracteres e uma chave de 2048 bits é maior, então ela precisa ser publicada como um único registro formado por várias strings. Alguns painéis de DNS criam dois registros separados, ou salvam as aspas como parte do valor. As duas coisas quebram a chave; a solução é apagar o registro e colar o valor como uma entrada só, sem aspas.