Genera il record DKIM
Crea una coppia di chiavi DKIM e il record TXT esatto da pubblicare nel DNS.
Come configurare DKIM con la chiave generata
- Inserisci il tuo dominio e un selettore, scegli la lunghezza della chiave e clicca su Genera le chiavi DKIM.
- Presso il gestore del DNS, crea un record TXT. Usa il nome del record mostrato qui sopra (selettore._domainkey, o il nome completo se il gestore lo chiede). Poi incolla il valore TXT.
- Installa la chiave privata nelle impostazioni di firma DKIM del tuo server di posta, con lo stesso selettore e lo stesso dominio.
- Invia un messaggio di prova a un account Gmail personale e apri Mostra originale. Accanto a DKIM deve comparire PASS.
Se non passa, controlla che il record DKIM sia già pubblicato nel DNS. Controlla anche che il selettore sul server sia identico a quello nel DNS. Per sapere come DKIM funziona insieme a SPF e DMARC, leggi la nostra guida a SPF, DKIM e DMARC.
Come scegliere il selettore e la lunghezza della chiave
Il selettore è solo un'etichetta, quindi scegline uno che riconoscerai in seguito. Un nome con una data, come s2026a, mostra subito qual è la chiave attuale quando la cambi. Può contenere lettere, cifre e trattini.
Per la lunghezza della chiave, 2048 bit è la scelta sicura. Gmail chiede chiavi DKIM di almeno 1024 bit e consiglia 2048. La RFC 8301 dice che chi firma deve usare almeno 1024 bit e dovrebbe usarne 2048. La stessa RFC chiede ai server di destinazione di gestire chiavi fino a 4096 bit. Un record da 4096 bit, però, è così lungo che alcuni pannelli DNS lo gestiscono male. Scegli 4096 bit solo se hai un motivo preciso.
Cosa contiene un record DKIM
| Tag | Cosa significa | Esempio |
|---|---|---|
| v | Versione. È facoltativo, ma se c'è deve essere il primo tag | v=DKIM1 |
| k | Tipo di chiave. rsa è il valore predefinito | k=rsa |
| p | La chiave pubblica, codificata in base64. Un p= vuoto significa che la chiave è stata revocata | p=MIIBIjAN... |
| t | Flag. y indica una fase di test, s indica che la chiave non si può usare per i sottodomini | t=y |
Esistono altri tre tag, ma servono di rado. Sono h per gli algoritmi di hash, n per le note e s per il tipo di servizio.
Perché i record DKIM lunghi vengono divisi
Una chiave pubblica da 2048 bit, codificata in base64, è lunga circa 390 caratteri. Il DNS salva i dati TXT in stringhe di massimo 255 caratteri ciascuna (RFC 1035). Una chiave così lunga va quindi pubblicata in due o più stringhe. I server di destinazione le riuniscono prima di controllare la firma. La maggior parte dei pannelli DNS divide il valore da sola quando incolli la versione a stringa singola. Il formato Zona BIND qui sopra serve a chi modifica direttamente un file di zona. Lì le stringhe stanno tra parentesi, così il record può occupare più righe.
Rotazione delle chiavi DKIM
Per cambiare chiave senza far fallire i controlli DKIM, genera una nuova coppia con un nuovo selettore. Pubblica il suo record DKIM accanto a quello vecchio. Poi imposta il server in modo che firmi con il nuovo selettore. Togli il vecchio record quando la posta firmata con la vecchia chiave è stata consegnata.
Domande frequenti
La coppia di chiavi viene creata dalla Web Crypto API integrata nel tuo browser. La chiave privata non viene mai inviata ai nostri server né altrove. Per questo non possiamo nemmeno recuperarla, quindi scaricala prima di lasciare la pagina.
Sul tuo server di posta, nelle impostazioni di firma DKIM, e da nessun'altra parte. Non metterla mai nel DNS e non inviarla per email. Si pubblica solo la chiave pubblica, dentro il valore TXT del record DKIM.
Usa 2048, a meno che il tuo gestore DNS non riesca a salvare il record più lungo. Gmail accetta 1024 come minimo ma consiglia 2048. La RFC 8301 dice che chi firma dovrebbe usare almeno 2048 bit.
Ogni stringa di un record TXT può contenere al massimo 255 caratteri, e una chiave da 2048 bit è più lunga. I server di destinazione riuniscono le stringhe in un unico valore, quindi la divisione non cambia il record.
Molti strumenti di firma accettano il file standard PKCS#8 (BEGIN PRIVATE KEY). Se il tuo chiede BEGIN RSA PRIVATE KEY, scarica invece la versione PKCS#1. È la stessa chiave in un formato più vecchio.
Invia un messaggio dal tuo server a un account Gmail personale, aprilo e scegli Mostra originale. Gmail mostra il risultato DKIM in alto. Per il tuo dominio deve indicare PASS.
No. Entrambi creano le proprie chiavi DKIM, quindi usa la configurazione nelle loro console di amministrazione. Questo strumento serve per i server dove gestisci tu la chiave di firma.
DKIM configurato? Ora verifica la tua lista.
1.000 crediti gratis, nessuna carta richiesta.