O que é DKIM: como funciona a assinatura do e-mail e como configurar

Resposta rápida: DKIM é uma assinatura digital que o servidor de envio coloca em cada e-mail. Quem recebe confere essa assinatura com uma chave pública publicada no DNS do seu domínio, em seletor._domainkey.seudominio.com.br. Se confere, a mensagem saiu de quem tem a chave e não foi alterada no caminho. É uma das bases do DMARC e uma exigência do Gmail e do Yahoo para quem envia em volume.

O que é DKIM

DKIM é a sigla de DomainKeys Identified Mail. É o segundo dos três registros de autenticação de e-mail, entre o SPF e o DMARC.

Cada um responde a uma pergunta diferente:

• SPF: este servidor pode enviar pelo domínio?
• DKIM: esta mensagem é mesmo do domínio e chegou intacta?
• DMARC: e se as duas checagens falharem, o que fazer?

O DKIM é o único dos três que viaja dentro da mensagem. Por isso ele continua valendo quando o e-mail é encaminhado, situação em que o SPF costuma falhar.

Como o DKIM funciona

O DKIM usa um par de chaves: uma privada, que fica com quem envia, e uma pública, que fica no DNS do seu domínio.

1. Na saída, o servidor de envio calcula uma assinatura a partir de partes da mensagem (o remetente, o assunto, a data e o corpo) usando a chave privada. Ele coloca essa assinatura num cabeçalho chamado DKIM-Signature.
2. Na chegada, o provedor de quem recebe lê no cabeçalho o domínio (d=) e o seletor (s=), busca a chave pública no DNS e confere a assinatura.
3. Se confere, o DKIM passa: a mensagem saiu de quem tem a chave privada e não foi alterada. Se alguém mudar uma palavra no caminho, a assinatura deixa de conferir.

Ninguém consegue assinar pelo seu domínio sem a chave privada. É isso que dá ao provedor a confiança de que o e-mail é seu.

O seletor: por que existe mais de um DKIM

Um domínio pode ter várias chaves DKIM ao mesmo tempo, uma para cada serviço que envia por ele. O seletor é o nome que diz qual chave usar.

Serviço	Seletor mais comum
Google Workspace	google
Microsoft 365	selector1 e selector2
Ferramentas de marketing e de envio	o que o painel da ferramenta indicar (cada uma tem o seu)

O seletor aparece no cabeçalho de toda mensagem assinada, no campo s=. Para achar o seu, abra um e-mail enviado pelo serviço e procure por DKIM-Signature.

Exemplo de registro DKIM

O registro fica no DNS, como TXT, no nome seletor._domainkey do domínio. Para o seletor google:

Nome:  google._domainkey.seudominio.com.br
Tipo:  TXT
Valor: v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...

Tag	O que significa
v=DKIM1	Identifica o registro como DKIM.
k=rsa	O tipo da chave. RSA é o padrão.
p=	A chave pública, uma sequência longa de letras e números. Quem gera é o provedor; você só copia.

Algumas ferramentas pedem um registro CNAME em vez de TXT. É o mesmo DKIM: o CNAME aponta para uma chave que a própria ferramenta mantém, e ela pode trocar a chave sem você mexer no DNS de novo.

Como ativar o DKIM nos provedores mais usados

Google Workspace

1. No Admin Console, abra Apps > Google Workspace > Gmail > Autenticar e-mails.
2. Escolha o domínio e clique em Gerar novo registro, com chave de 2048 bits.
3. Copie o nome (google._domainkey) e o valor, e crie o registro TXT no DNS.
4. Espere a propagação e volte ao Admin Console para clicar em Iniciar autenticação.

Microsoft 365

1. No portal do Microsoft Defender, abra a página de DKIM em políticas de e-mail.
2. Escolha o domínio. A Microsoft mostra dois registros CNAME: selector1._domainkey e selector2._domainkey.
3. Crie os dois no DNS e volte ao portal para ativar a assinatura.

Ferramentas de marketing, CRM e sistemas de cobrança

Cada ferramenta que envia com o seu domínio no remetente tem, no painel, uma área de autenticação de domínio (às vezes chamada de "domínio de envio" ou "autenticação de remetente"). Ela mostra os registros a criar. Sem esse passo, a ferramenta assina com o domínio dela, e o DKIM não fica alinhado com o seu para o DMARC.

O registro é criado onde o DNS do domínio é administrado: Registro.br, Cloudflare, a hospedagem ou o provedor do site.

Erros mais comuns

• Ativar no DNS e esquecer de ligar no provedor. No Google Workspace e no Microsoft 365, publicar o registro não basta: é preciso voltar ao painel e iniciar a assinatura.
• Chave cortada. Painéis de DNS antigos limitam o tamanho do texto, e uma chave de 2048 bits pode ficar pela metade. Confira se o valor publicado é igual ao gerado.
• Ferramenta de marketing sem DKIM próprio. A caixa da empresa está assinada, mas as campanhas saem assinadas com o domínio da ferramenta. O DMARC falha justamente no envio em volume.
• Seletor errado no nome. O registro precisa estar em seletor._domainkey.seudominio.com.br. Sem o _domainkey, ninguém encontra a chave.
• Apagar a chave antiga cedo demais. Ao trocar a chave, mantenha a anterior por alguns dias, para as mensagens já enviadas continuarem conferindo.

DKIM não salva lista ruim

O DKIM prova que o e-mail é seu. Ele não impede que você envie para endereços que não existem. Um domínio com SPF, DKIM e DMARC perfeitos ainda perde reputação quando a taxa de devolução sobe, e as mensagens boas começam a cair no spam. Veja as outras causas em por que meus e-mails caem no spam e o passo a passo dos três registros em como configurar SPF, DKIM e DMARC.

Para testar agora

Confira de graça se o seu domínio tem DKIM, junto com o SPF e o DMARC, na ferramenta de SPF, DKIM e DMARC. Ela testa os seletores mais comuns e aceita o seu, se for outro.

Com o domínio autenticado, o passo seguinte é a lista: o verificador de e-mail grátis testa 3 endereços por dia sem cadastro, e o Verify valida a lista inteira antes do envio.