Se non conosci il selettore lascia il campo vuoto: proviamo i più usati.
Cos’è il DKIM
Il DKIM è una firma digitale che il server di posta aggiunge a ogni email inviata. La chiave pubblica per verificarla sta nel DNS del tuo dominio. Chi riceve l’email controlla la firma: se è valida, sa che il messaggio parte davvero dal tuo dominio e non è stato modificato lungo il percorso.
Il selettore
Un dominio può avere più chiavi DKIM, una per ogni servizio che invia (posta, newsletter, gestionale). Ogni chiave ha un nome, il selettore, e si trova all’indirizzo selettore._domainkey.tuodominio.it.
Se non conosci il selettore lascia il campo vuoto: proviamo quelli più comuni (default, google, selector1, selector2, k1, mail…). Per trovarlo con certezza apri un’email inviata dal tuo dominio, guarda l’intestazione completa e cerca la riga DKIM-Signature: il selettore è il valore dopo s=. Puoi anche incollare l’intestazione nell’Analisi header email.
Come leggere il risultato
Chiave DKIM valida, 2048 bit. La chiave è pubblicata correttamente con la lunghezza consigliata oggi. Per essere sicuro che le email siano firmate davvero, fai un Test di un’email reale.
Chiave da 1024 bit. Funziona ed è accettata da tutti i provider: per questo non toglie punti nel check-up. Oggi si consigliano 2048 bit: se il tuo fornitore lo permette, rigenera la chiave a 2048 bit; se non lo permette (Qboxmail, per esempio, usa solo 1024) non devi fare nulla.
Nessuna chiave trovata con i selettori comuni. Non vuol dire per forza che il DKIM manchi: il tuo fornitore può usare un selettore particolare. Cercalo nell’intestazione di un’email inviata e ripeti il controllo indicandolo.
Selettore indicato ma record inesistente. Il nome cercato non esiste nel DNS: o il selettore è sbagliato, o la chiave non è mai stata pubblicata. Nel pannello del fornitore di posta di solito c’è una sezione DKIM che mostra il record da inserire.
Record presente ma chiave vuota (p=). La chiave è stata revocata: le email firmate con quel selettore non superano il controllo. Se il servizio è ancora in uso, ripubblica la chiave.
Record non valido. Il testo del record è incompleto o rovinato, spesso perché il pannello DNS ha spezzato male una chiave lunga. Copia di nuovo il valore dal pannello del fornitore, senza spazi o virgolette in più.
Fornitore riconosciuto con selettore dedicato. Alcuni fornitori usano selettori propri: per esempio Qboxmail crea un selettore che inizia con qbm seguito da numeri, diverso per ogni dominio. Lo segnaliamo quando riconosciamo il fornitore dal record MX. Basta indicarlo una volta qui (o fare un Test di un’email reale): se la chiave è valida, il Check-up la riconoscerà anche nei controlli successivi.
Domande frequenti
Devo inserire io il record DKIM? Dipende dal fornitore: alcuni lo pubblicano da soli se gestiscono anche il DNS, altri ti danno il record da copiare nel pannello DNS (tipo TXT o CNAME).
Posso avere più chiavi DKIM? Sì, una per servizio, ognuna con il suo selettore. Non si disturbano tra loro.
Il DKIM sostituisce l’SPF? No, si completano. Il DMARC chiede che almeno uno dei due sia superato e allineato al dominio del mittente. Vedi la guida Configurare SPF, DKIM e DMARC.
