O que é um registro DKIM?
O DKIM adiciona uma assinatura criptográfica ao seu e-mail de saída; os destinatários a verificam contra uma chave pública que você publica no DNS em selector._domainkey.seu-dominio. Como o DNS não oferece nenhuma forma de listar seletores, o IPeek testa os seletores usados por Google, Microsoft, Amazon SES e outros grandes provedores.
Como funcionam a assinatura e a verificação DKIM
Quando você envia um e-mail, seu provedor assina cabeçalhos selecionados e o corpo com uma chave privada, adicionando um cabeçalho DKIM-Signature à mensagem. O destinatário lê as tags d= (domínio) e s= (seletor) desse cabeçalho, busca a chave pública correspondente em selector._domainkey.d e verifica a assinatura. Se ela valida, o conteúdo não foi alterado em trânsito e veio genuinamente de um detentor de chave daquele domínio. A chave privada permanece no servidor de envio; apenas a chave pública fica no DNS.
Seletores e a chave pública no DNS
Um seletor permite que um domínio publique várias chaves DKIM — útil para rotação ou para diferentes serviços de envio. A chave pública é um registro TXT em selector._domainkey.seu-dominio, como google._domainkey.example.com, contendo v=DKIM1; k=rsa; p=<chave pública em base64>. Como o DNS não oferece um diretório de seletores, você não consegue simplesmente perguntar quais um domínio usa. Por isso o IPeek testa os seletores comuns usados por Google (google), Microsoft, Amazon SES e outros grandes provedores para localizar suas chaves publicadas.
Como o DKIM se relaciona com SPF e DMARC
O DKIM é a camada de autenticação de conteúdo das três. Enquanto o SPF autoriza hosts de envio por IP, o DKIM prova criptograficamente que os cabeçalhos e o corpo de uma mensagem não foram adulterados e a vincula a um domínio de assinatura. O DMARC então verifica se o domínio de assinatura do DKIM se alinha com o endereço From visível. O DKIM tem uma vantagem importante sobre o SPF: como a assinatura viaja com a mensagem, ela sobrevive ao encaminhamento, que costuma quebrar o SPF. Para uma boa entregabilidade, publique o DKIM e alinhe-o sob o DMARC.