Gerador DKIM
Crie um par de chaves DKIM e o registro TXT exato para publicar no seu DNS.
Como configurar o DKIM com a chave gerada
- Insira seu domínio e um seletor, escolha o tamanho da chave e clique em Gerar chaves DKIM.
- No seu provedor DNS, crie um registro TXT. Use o nome exibido acima (seletor._domainkey ou o nome FQDN completo) e cole o valor TXT.
- Instale a chave privada nas configurações de assinatura DKIM do seu servidor de e-mail, utilizando o mesmo seletor e domínio.
- Envie uma mensagem de teste para um Gmail pessoal e abra "Mostrar original". Ao lado de DKIM deve constar PASS.
Se o teste falhar, verifique a propagação do DNS e confirme se o seletor no servidor coincide exatamente com o publicado no DNS. Para entender como o DKIM trabalha com SPF e DMARC, confira nosso guia explicativo de SPF, DKIM e DMARC.
Escolhendo o seletor e o tamanho da chave
O seletor é apenas um identificador: escolha um nome que você reconheça facilmente mais tarde. Um prefixo com data como s2026a torna evidente qual chave está ativa durante rotatividades periódicas. Pode conter letras, números e hifens.
Para o tamanho da chave, 2048 bits é o padrão seguro e recomendado. O Gmail exige chaves DKIM de pelo menos 1024 bits e recomenda 2048. O RFC 8301 estipula que remetentes devem usar no mínimo 1024 bits e deveriam adotar 2048. Embora receptores devam suportar até 4096 bits, registros de 4096 bits são extensos e causam problemas em alguns painéis DNS; utilize 2048 bits.
O que contém um registro DKIM
| Tag | Significado | Exemplo |
|---|---|---|
| v | Versão do protocolo. Opcional, mas se presente deve ser a primeira tag | v=DKIM1 |
| k | Tipo de algoritmo de chave. rsa é o padrão | k=rsa |
| p | Chave pública codificada em base64. Um p= vazio indica revogação da chave | p=MIIBIjAN... |
| t | Flags. y para modo de teste, s proíbe uso em subdomínios | t=y |
Existem outras três tags (h para algoritmos de hash, n para notas e s para tipo de serviço), mas raramente são necessárias.
Por que registros DKIM longos são divididos
Uma chave pública de 2048 bits possui cerca de 390 caracteres após a codificação base64. O DNS armazena registros TXT em cadeias de até 255 caracteres (RFC 1035). Por isso, uma chave desse tamanho precisa ser publicada em duas ou mais strings entre aspas, que o servidor destinatário junta antes de validar a assinatura. A maioria dos painéis DNS divide automaticamente o texto ao colar a versão de linha única. O formato de zona BIND é indicado para quem edita diretamente arquivos de configuração de servidores DNS.
Rotação de chaves DKIM
Para substituir chaves com segurança, gere um novo par com um novo seletor e publique o novo registro no DNS mantendo o antigo ativo. Configure seu servidor para assinar com o novo seletor e remova o registro anterior apenas quando todas as mensagens enviadas tiverem sido entregues.
Perguntas frequentes
O par de chaves é gerado no próprio navegador usando a Web Crypto API. A chave privada nunca é enviada aos nossos servidores nem a terceiros. Como não temos acesso a ela, faça o download antes de fechar a página.
Apenas no seu servidor de e-mail ou MTA, nas configurações de assinatura DKIM. Nunca a publique no DNS nem a compartilhe por e-mail. Apenas a chave pública, dentro do valor TXT, é divulgada.
Escolha 2048 bits, a menos que seu host DNS não consiga salvar registros longos. O Gmail aceita 1024 como mínimo mas recomenda 2048, e o RFC 8301 define 2048 bits como o padrão ideal.
Cada cadeia em um registro TXT no DNS suporta até 255 caracteres, e uma chave de 2048 bits ultrapassa esse limite. Os servidores de destino reconstroem o texto original ao verificar a assinatura.
Muitos softwares utilizam o formato moderno PKCS#8 (BEGIN PRIVATE KEY). Se sua ferramenta exigir BEGIN RSA PRIVATE KEY, baixe a versão PKCS#1; trata-se da mesma chave em formato clássico.
Envie um e-mail do seu servidor para uma conta do Gmail, abra o e-mail e clique em "Mostrar original". No relatório de autenticação, o campo DKIM deve indicar PASS para o seu domínio.
Não. O Google Workspace e o Microsoft 365 criam suas próprias chaves DKIM em seus painéis de administração. Este gerador é destinado a servidores próprios nos quais você gerencia diretamente as chaves.
DKIM configurado? Valide sua lista de e-mails agora.
1.000 créditos grátis, sem cartão.