Come configuro DKIM per un dominio email personalizzato?

Come funziona DKIM?

DKIM permette al server mittente di firmare ogni messaggio con una chiave privata e a qualsiasi destinatario di verificare la firma con una chiave pubblica pubblicata nel DNS. La firma si trova in un'intestazione DKIM-Signature. Contiene il dominio firmatario (d=), il selector (s=), le intestazioni firmate (h=), un hash del corpo (bh=) e la firma stessa (b=). La RFC 6376, un Internet Standard, definisce questi tag.

Il destinatario costruisce il nome DNS a partire dal selector e dal dominio: selector._domainkey.dominio. Per il selector fm1 e il dominio example.com, richiede fm1._domainkey.example.com. La risposta è un record con i tag v=DKIM1, k=rsa e p= seguito dalla chiave pubblica in base64. Un p= vuoto significa che la chiave è revocata.

Una firma valida prova due cose: il messaggio è stato firmato da un sistema che detiene la chiave privata di quel dominio e le parti firmate non sono cambiate durante il transito. Non dice che il messaggio sia desiderato. Questo giudizio spetta a DMARC, trattato in SPF, DKIM e DMARC a confronto.

Perché i provider chiedono record CNAME invece di una chiave?

Un CNAME affida la chiave al provider: la chiave pubblica resta all'indirizzo del provider e il provider può sostituirla senza chiederti di modificare il DNS. Proton Mail, Fastmail e Mailbox.org usano tutti questo schema. I loro record sono CNAME dal nome del tuo selector a un host che controllano, il quale contiene il vero record della chiave.

Il vantaggio è la rotazione delle chiavi. La RFC 6376 consiglia di pubblicare le nuove chiavi sotto nuovi selector invece di riutilizzare un selector, e Proton Mail pubblica tre selector (protonmail, protonmail2, protonmail3), il che dà al provider margine per passare da una chiave alla successiva. Il costo per te è la fiducia: dipendi dal fatto che l'host del provider continui a rispondere.

Secondo il confronto di Postelva del 12 novembre 2026, i tre provider i cui record DKIM sono stati letti sulle pagine di aiuto richiedono 3, 4 e 3 record CNAME, 10 in tutto, e nessuno chiede una chiave TXT.

Quanto deve essere lunga la chiave DKIM?

Usa una chiave RSA a 2048 bit; 1024 bit è il minimo che la RFC 6376 consente per le chiavi di lunga durata. Lo standard dice che i firmatari devono usare chiavi RSA di almeno 1024 bit e che i verificatori devono poter controllare chiavi da 512 a 2048 bit. Le linee guida per i mittenti di Google chiedono almeno 1024 bit e raccomandano 2048. Quando è il provider a creare la chiave, come nella configurazione CNAME descritta sopra, la lunghezza è una sua scelta e non resta nulla da configurare per te.

Quando devi scegliere tu la dimensione, scegli 2048. Una chiave a 2048 bit è più lunga di una singola stringa di 255 caratteri nel DNS, quindi il valore TXT viene suddiviso in più stringhe, cosa che la maggior parte degli editor DNS fa da sola. Lo stesso limite degli editor si applica al record SPF descritto in come creare un record SPF.

Posso usare più provider su un dominio?

Sì: ogni provider firma con il proprio selector, quindi i loro record DKIM non entrano in conflitto. Il motivo è il selector. Proton usa protonmail, protonmail2 e protonmail3; Fastmail usa fm1, fm2 e fm3; Mailbox.org usa da MBO0001 a MBO0004. Uno strumento di newsletter che invia a tuo nome aggiunge un selector proprio.

L'SPF è diverso: contiene un solo record per tutti i mittenti, con un limite di 10 ricerche. Quando lasci definitivamente un provider, rimuovi i suoi record DKIM dopo aver confermato che il nuovo firma, in modo che una chiave abbandonata non possa essere usata da chiunque ottenga l'accesso al vecchio account. Per l'ordine completo di una migrazione, vedi come spostare l'email a un nuovo provider senza perdere posta.

Come verifico che DKIM funzioni?

Interroga il selector con dig e poi invia un messaggio reale. Il comando dig CNAME fm1._domainkey.example.com +short dovrebbe stampare il target del provider. Per una chiave TXT, richiedi invece TXT. Il test decisivo è un messaggio: le intestazioni della copia ricevuta mostrano se il server ricevente ha registrato dkim=pass.

Se il record è corretto e la verifica continua a fallire, le cause abituali sono un nome host sbagliato (il dominio aggiunto due volte dall'editor DNS), una cache non aggiornata o un messaggio inviato prima che il provider attivasse la firma. La guida successiva, come verificare i record MX, SPF, DKIM e DMARC, elenca i comandi. I passaggi completi per Fastmail sono nella guida al dominio personalizzato di Fastmail.