Como configuro o DKIM para um domínio de e-mail personalizado?

Como funciona o DKIM?

O DKIM permite que o servidor de envio assine cada mensagem com uma chave privada e que qualquer receptor verifique a assinatura com uma chave pública publicada no DNS. A assinatura fica em um cabeçalho DKIM-Signature. Ela traz o domínio de assinatura (d=), o seletor (s=), os cabeçalhos assinados (h=), um hash do corpo (bh=) e a própria assinatura (b=). A RFC 6376, um Internet Standard, define essas tags.

O receptor monta o nome DNS a partir do seletor e do domínio: seletor._domainkey.domínio. Para o seletor fm1 e o domínio example.com, ele pede fm1._domainkey.example.com. A resposta é um registro com as tags v=DKIM1, k=rsa e p= seguido da chave pública em base64. Um p= vazio significa que a chave foi revogada.

Uma assinatura válida prova duas coisas: a mensagem foi assinada por um sistema que possui a chave privada daquele domínio, e as partes assinadas não mudaram no trajeto. Ela não diz que a mensagem é desejada. Esse julgamento cabe ao DMARC, tratado em SPF vs DKIM vs DMARC.

Por que os provedores pedem registros CNAME em vez de uma chave?

Um CNAME entrega a chave ao provedor: a chave pública fica no endereço do provedor e ele pode substituí-la sem pedir que você edite o DNS. Proton Mail, Fastmail e Mailbox.org usam esse padrão. Seus registros são CNAMEs do nome do seu seletor para um host que eles controlam, que guarda o registro real da chave.

O benefício é a rotação de chaves. A RFC 6376 aconselha publicar novas chaves sob novos seletores em vez de reutilizar um seletor, e o Proton Mail publica três seletores (protonmail, protonmail2, protonmail3), o que dá ao provedor espaço para passar de uma chave para a seguinte. O custo para você é a confiança: você depende de o host do provedor continuar respondendo.

Segundo a comparação de Postelva de 12 de novembro de 2026, os três provedores cujos registros DKIM foram lidos em suas páginas de ajuda precisam de 3, 4 e 3 registros CNAME, 10 no total, e nenhum pede uma chave TXT.

Qual deve ser o tamanho da chave DKIM?

Use uma chave RSA de 2048 bits; 1024 bits é o mínimo que a RFC 6376 permite para chaves de longa duração. O padrão diz que os assinantes devem usar chaves RSA de pelo menos 1024 bits, e os verificadores devem ser capazes de checar chaves de 512 a 2048 bits. As diretrizes de remetentes do Google pedem pelo menos 1024 bits e recomendam 2048. Quando o provedor cria a chave, como na configuração com CNAME acima, o tamanho é escolha dele e não resta nada para você configurar.

Quando você mesmo precisar escolher um tamanho, escolha 2048. Uma chave de 2048 bits é maior que uma string de 255 caracteres no DNS, então o valor TXT é dividido em várias strings, o que a maioria dos editores de DNS faz sozinha. O mesmo limite de editor se aplica ao registro SPF descrito em como criar um registro SPF.

Posso usar vários provedores em um domínio?

Sim: cada provedor assina com o próprio seletor, então os registros DKIM deles não colidem. O seletor é a razão. A Proton usa protonmail, protonmail2 e protonmail3; o Fastmail usa fm1, fm2 e fm3; o Mailbox.org usa MBO0001 a MBO0004. Uma ferramenta de newsletter que envia em seu nome acrescenta um seletor próprio.

O SPF é diferente: ele guarda um registro para todos os remetentes, com um limite de 10 consultas. Quando você deixa um provedor de vez, remova os registros DKIM dele depois de confirmar que o novo assina, para que uma chave abandonada não possa ser usada por quem obtiver acesso à conta antiga. Para a ordem completa de uma migração, veja como mudar o e-mail para um novo provedor sem perder mensagens.

Como verifico se o DKIM funciona?

Consulte o seletor com o dig e depois envie uma mensagem real. O comando dig CNAME fm1._domainkey.example.com +short deve imprimir o destino do provedor. Para uma chave TXT, peça TXT em vez disso. O teste decisivo é uma mensagem: os cabeçalhos da cópia recebida mostram se o servidor receptor registrou dkim=pass.

Se o registro está correto e a verificação ainda falha, as causas usuais são um nome de host errado (o domínio acrescentado duas vezes pelo editor de DNS), um cache desatualizado ou uma mensagem enviada antes de o provedor ativar a assinatura. O próximo guia, como verificar registros MX, SPF, DKIM e DMARC, lista os comandos. Os passos do Fastmail estão completos no guia de domínio personalizado do Fastmail.