DKIM: il sigillo che dimostra chi ha spedito

Il DKIM firma i tuoi messaggi con una chiave privata e pubblica quella pubblica nel DNS. Come funziona il selettore, perché «non trovato» non significa «assente» e come si attiva.

Il DKIM è un sigillo di ceralacca. Il server che spedisce calcola una firma sul messaggio con una chiave privata che non esce mai da lì; la chiave pubblica corrispondente sta nel tuo DNS, dove chiunque può leggerla. Chi riceve ricalcola e confronta. Se torna, due cose sono certe: il messaggio è partito da chi dice di essere partito, e nessuno lo ha modificato lungo la strada.

La differenza pratica con l'SPF è che la firma viaggia dentro al messaggio. Se un destinatario inoltra la tua e-mail a un collega, l'indirizzo IP cambia e l'SPF non regge più; la firma DKIM invece resta valida. È il motivo per cui il DKIM è il più solido dei tre meccanismi, e quello che conviene attivare per primo insieme all'SPF.

Com'è fatta la chiave

La chiave pubblica è un record TXT su un nome costruito così: <selettore>._domainkey.<dominio>. Il selettore è un'etichetta che sceglie il provider e che permette di avere più chiavi attive contemporaneamente — utile quando si cambia chiave senza interrompere il servizio.

a1._domainkey.esempio.it.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."

Molti provider non pubblicano il record direttamente ma un rimando (CNAME) verso un nome proprio: IONOS punta a dkim.ionos.com, Microsoft 365 al mandante su onmicrosoft.com. Funziona allo stesso modo ed è anzi comodo, perché il provider può rinnovare la chiave senza che tu debba toccare il DNS.

Il selettore non si può indovinare

È il limite più importante da conoscere, e vale per qualsiasi verifica esterna, non solo per la nostra.

Nel DNS non è scritto da nessuna parte quale selettore usa un dominio. Non esiste un elenco da interrogare: si può solo provare i nomi noti e vedere se rispondono. Questa verifica prova i selettori dei provider più diffusi in cinque mercati — un centinaio di nomi — ma un provider che ne usa uno personalizzato, o che ne genera uno casuale, resta invisibile.

Quindi: «nessuna chiave trovata» non significa «DKIM assente». Significa solo che nessuno dei nomi provati ha risposto.

Due modi per togliere ogni dubbio:

• Inserisci il selettore nel campo apposito del modulo, se lo conosci dal pannello del provider.
• Incolla le intestazioni di un messaggio vero. Nella riga DKIM-Signature il selettore sta dopo s=. Nella maggior parte dei programmi di posta le intestazioni si trovano sotto «Visualizza sorgente» o «Mostra originale».

Come si attiva

Il DKIM non si scrive a mano: la chiave privata deve nascere sul server che spedisce. Si attiva nel pannello del provider, che poi ti dà il record da pubblicare — o lo pubblica da sé, se gestisce anche il DNS.

Questi nomi sono quelli che la verifica prova per primi quando riconosce il provider. Sono presi dai dati del servizio, non da una lista generica.

Attivare il DKIM su un'azienda che ha le caselle su Microsoft 365, il caso più frequente insieme ad Aruba:

1. Apri il Microsoft 365 Defender portal, sezione Email & collaboration → Policies & rules → Threat policies → Email authentication settings → DKIM.
2. Seleziona il dominio e leggi i due record CNAME che ti vengono mostrati: selector1._domainkey e selector2._domainkey.
3. Pubblica quei due CNAME nella zona DNS del dominio, così come sono.
4. Torna nel portale e metti su Enabled l'interruttore per il dominio. Se il DNS non è ancora propagato, l'attivazione fallisce: aspetta un'ora e riprova.
5. Spedisci un messaggio a una casella esterna e controlla nelle intestazioni che ci sia dkim=pass.

Chi ha le caselle su Aruba trova il DKIM nella gestione del servizio di posta: si attiva per dominio e i record vengono pubblicati automaticamente se la zona DNS è gestita da Aruba. Se i nameserver sono altrove, i record vanno copiati a mano.

I rilievi nel dettaglio

Nessuna chiave DKIM trovata

Nessuno dei selettori provati ha restituito una chiave. Come spiegato sopra, questo non dimostra che il DKIM manchi: dimostra solo che non l'abbiamo trovato. È l'esito normale per i servizi che generano selettori casuali, come Amazon SES, o per i provider con nomi fuori dai soliti.

Che cosa fare. Prima di intervenire, accertati. Apri un messaggio spedito di recente dal tuo dominio, guarda la riga DKIM-Signature e leggi il valore dopo s=: quello è il selettore. Rifai la verifica inserendolo nel campo apposito. Se davvero non c'è nessuna firma, attiva il DKIM nel pannello del provider — è un interruttore, non una configurazione complessa.

Chiave DKIM revocata

Un record esiste sotto quel selettore ma il campo p= è vuoto. È il modo previsto per dismettere un selettore: si svuota la chiave invece di cancellare il record, così i messaggi vecchi ancora in circolazione vengono riconosciuti come non più validi anziché come sconosciuti.

Che cosa fare. Di solito niente: è lo stato corretto dopo una rotazione, purché un altro selettore porti una chiave viva. A rotazione conclusa, qualche settimana dopo, il record può essere rimosso.

Tutte le chiavi DKIM trovate sono revocate

Ogni selettore rilevabile ha il campo p= vuoto. Nessuna chiave viva. La posta in uscita non è più firmata, e il DMARC fallisce ogni volta che anche l'SPF non si allinea — dopo un inoltro, per esempio, o quando spedisce un servizio esterno.

Che cosa fare. Genera una chiave nuova nel pannello del provider e pubblicala. È probabile che una rotazione sia stata avviata e non portata a termine: la vecchia chiave è stata revocata e la nuova non è mai stata attivata.

Chiave DKIM troppo corta

La chiave pubblicata è più corta di 1024 bit. Chiavi di questa lunghezza sono considerate insicure da anni e diversi grandi operatori non valutano più le firme che ne derivano: il DKIM c'è, ma per una parte dei destinatari è come se non ci fosse.

Che cosa fare. Genera una chiave nuova da 2048 bit nel pannello del provider, pubblica il nuovo record e, solo dopo aver verificato che i messaggi arrivano firmati con il nuovo selettore, revoca il vecchio.

Chiave DKIM da 1024 bit

La chiave è da 1024 bit. Viene ancora accettata da tutti, quindi non è un guasto, ma non è più al passo con i tempi: lo standard attuale è 2048 bit. Capita spesso con record pubblicati qualche anno fa e mai più toccati.

Che cosa fare. Alla prossima occasione — un cambio di provider, una revisione del DNS — passa a 2048 bit. Non è urgente e non serve fare una rotazione apposta, a meno che il provider non la offra con un clic.

DKIM in modalità di prova (t=y)

Il record contiene t=y. Questo indicatore dice espressamente ai destinatari: sto facendo prove, se la firma fallisce trattala come se non ci fosse. La protezione quindi non si applica, e un messaggio falsificato non produce alcuna conseguenza.

Che cosa fare. Se le prove sono finite — e di solito sono finite da mesi — togli t=y dal record. Nella maggior parte dei pannelli si tratta di rigenerare la chiave senza l'opzione «test mode», oppure di modificare direttamente il valore TXT.

Chiave DKIM illeggibile

Sotto quel selettore c'è un record, ma non si riesce ad analizzarlo. Le cause tipiche sono tre: la chiave è stata incollata con un'interruzione di riga in mezzo, il pannello DNS ha aggiunto virgolette o spazi dentro al valore p=, oppure il record è stato troncato perché supera i 255 caratteri di una singola stringa TXT.

Che cosa fare. Prendi di nuovo il record dal pannello del provider e reinseriscilo, senza spazi né interruzioni dentro alla chiave. Se il pannello DNS non accetta valori lunghi, cerca l'opzione per spezzare il valore in più stringhe dentro lo stesso record — non in più record. Poi rileggi il valore dall'esterno per essere sicuro che sia arrivato integro.

Domande frequenti

Come faccio a sapere qual è il mio selettore?

Guardando un messaggio vero. Apri le intestazioni di una e-mail spedita dal tuo dominio — «Mostra originale» in Gmail, «Visualizza sorgente» in molti altri programmi — e cerca la riga DKIM-Signature. Il valore dopo s= è il selettore, dopo d= c'è il dominio firmato.

Ogni quanto va cambiata la chiave?

Non c'è un obbligo. Chi spedisce molta posta ruota la chiave una o due volte l'anno; per un'azienda normale va benissimo anche non ruotarla, purché sia da 2048 bit. Quello che conta davvero è non lasciare a metà una rotazione iniziata.

Il DKIM basta da solo?

No. Firma i messaggi ma non dice a nessuno che cosa fare di quelli non firmati: quella è la parte del DMARC. E l'allineamento richiesto dal DMARC vuole che il dominio in d= corrisponda a quello che il destinatario vede nel mittente — se la newsletter firma con il dominio del fornitore, non basta.

Ho attivato il DKIM ma i messaggi risultano ancora non firmati.

Quasi sempre è una questione di tempo o di percorso. Il record ha bisogno di propagarsi prima che il provider accetti di attivare la firma. E se i nameserver del dominio non sono quelli del provider di posta, il record pubblicato nel pannello sbagliato non è visibile a nessuno: controlla dove risiede davvero la zona DNS attiva.