O que é DKIM (DomainKeys Identified Mail)?

Definição

O DomainKeys Identified Mail é um dos três pilares da autenticação de e-mail moderna, atuando ao lado do SPF e do DMARC. Enquanto o SPF responde à pergunta de se uma mensagem veio de um servidor autorizado, o DKIM responde a duas perguntas ligeiramente diferentes. Ele confirma que a mensagem foi aprovada por alguém que controla o domínio de envio, e confirma que ninguém adulterou a mensagem depois que ela foi enviada.

O DKIM consegue isso com criptografia de chave pública. O domínio de envio mantém uma chave privada que é guardada em segredo em sua infraestrutura de e-mail, e publica uma chave pública correspondente no Domain Name System para qualquer um ler. Quando o domínio envia uma mensagem, seu servidor de e-mail usa a chave privada para gerar uma assinatura digital sobre partes selecionadas do e-mail e adiciona essa assinatura à mensagem como um cabeçalho oculto. Quando a mensagem chega, o servidor de recebimento busca a chave pública no DNS e a usa para verificar a assinatura. Como apenas o detentor da chave privada poderia ter produzido uma assinatura que a chave pública valida, uma checagem DKIM aprovada é uma evidência sólida de que a mensagem é autêntica e está intacta.

Como Funciona

O DKIM depende de um par de chaves criptográficas. Uma chave privada é gerada para o domínio e armazenada com segurança no sistema de e-mail de envio, e a chave pública correspondente é publicada como um registro TXT de DNS. Esse registro fica em um local especial construído a partir de um rótulo chamado seletor, na forma selector._domainkey.yourdomain.com. O seletor existe para que um domínio possa publicar várias chaves de uma vez, o que é útil para atribuir uma chave separada a cada serviço de envio e para rotacionar chaves com segurança ao longo do tempo.

Quando o domínio envia uma mensagem, seu servidor de e-mail seleciona quais partes do e-mail proteger. Isso sempre inclui o corpo da mensagem e um conjunto escolhido de campos de cabeçalho, comumente From, To, Subject, Date e outros. O servidor computa um hash do corpo e um hash sobre os cabeçalhos escolhidos, depois usa a chave privada para assinar esses dados, produzindo a assinatura. Tudo isso é registrado em um novo cabeçalho chamado DKIM-Signature, que é adicionado à mensagem. Esse cabeçalho carrega o domínio que assina na tag d=, o seletor na tag s=, a lista de cabeçalhos assinados na tag h=, o hash do corpo na tag bh= e a própria assinatura na tag b=.

No lado do recebimento, o servidor lê o cabeçalho DKIM-Signature, pega o domínio e o seletor, e busca o registro de chave pública correspondente no DNS. Ele então recalcula o hash do corpo e o hash dos cabeçalhos usando exatamente os mesmos cabeçalhos listados em h=, e usa a chave pública para verificar se a assinatura em b= corresponde a esses dados recalculados. Se a chave privada correta foi usada e nenhum conteúdo assinado foi alterado em trânsito, a assinatura valida e o DKIM passa. Se algum cabeçalho assinado ou o corpo foi modificado, os hashes não correspondem mais e a checagem falha. Uma consequência prática é que a assinatura cobre apenas os cabeçalhos explicitamente listados, e permanece válida apenas enquanto os sistemas de e-mail intermediários não alterarem as partes assinadas da mensagem.

Por Que Isso Importa para a Entregabilidade de E-mail

O DKIM é um sinal de confiança forte e persistente para os provedores de caixa de entrada. Uma assinatura DKIM consistentemente válida diz a um provedor que um domínio real está por trás do e-mail e está disposto a ser responsabilizado por ele, o que ajuda esse e-mail a conquistar um lugar na caixa de entrada. Igualmente importante, o DKIM tem uma qualidade que falta ao SPF. Como a assinatura viaja dentro da própria mensagem, em vez de depender do servidor de conexão, o DKIM geralmente sobrevive ao encaminhamento de e-mail, enquanto o SPF muitas vezes quebra quando uma mensagem é encaminhada. Isso torna o DKIM a mais durável das duas checagens em caminhos de entrega complexos.

O DKIM também é um bloco de construção para o DMARC. O DMARC passa quando o SPF ou o DKIM passa e o resultado se alinha com o domínio From visível, então uma mensagem corretamente assinada com DKIM dá a um domínio um caminho confiável para o alinhamento de DMARC. Desde os requisitos de remetente de 2024 do Google e do Yahoo, espera-se que os remetentes em massa autentiquem com SPF e DKIM, e e-mails que chegam sem uma assinatura DKIM válida têm muito mais probabilidade de serem filtrados ou rejeitados. Uma configuração de DKIM corretamente feita deixou de ser uma boa prática para se tornar uma expectativa básica para qualquer um que envie e-mail em escala.

Como a VeriMails Lida com Isso

O DKIM e a verificação de e-mail protegem a entregabilidade de duas direções diferentes, e um programa de e-mail saudável precisa de ambos. O DKIM autentica as mensagens que você envia, provando aos servidores de recebimento que o e-mail é genuíno e não foi alterado. A verificação de e-mail limpa a audiência para a qual você envia, garantindo que cada endereço na sua lista seja real e alcançável. A autenticação sem uma lista limpa ainda produz bounces, e uma lista limpa sem autenticação ainda parece não confiável, então os dois funcionam como um par.

O VeriMails se concentra no lado do destinatário desse par. Cada endereço que você envia passa por validação de sintaxe, consulta de MX e DNS, um handshake SMTP ao vivo, detecção de catch-all, detecção de endereços descartáveis e detecção de endereços baseados em função, o que remove os endereços inválidos que, de outra forma, dariam bounce e prejudicariam a reputação que seus registros DKIM, SPF e DMARC existem para defender. Para apoiar também o lado da autenticação, o VeriMails oferece um gerador de DKIM gratuito que cria um par de chaves e o registro DNS que você precisa publicar. Você pode verificar uma lista pela REST API ou por um upload de CSV em massa, com categorias claras de entregabilidade para decisões de campanha. A verificação começa em $0.0019 por e-mail, com 10,000 créditos por $19 e planos anuais a partir de $12.50/month na cobrança anual, e toda conta começa com 100 créditos gratuitos, sem necessidade de cartão de crédito, que nunca expiram.

Perguntas Frequentes