# Como configuro o DKIM para um domínio de e-mail personalizado? > O DKIM precisa de 3 registros CNAME no Proton Mail e no Fastmail e de 4 no Mailbox.org, publicados sob _domainkey; copie os valores do seu provedor. - URL: https://postelva.com/pt/guides/dkim-setup/ - Última atualização: 2026-11-12 - Editor: Postelva (https://postelva.com) O DKIM é configurado na tela de administração do seu provedor e publicado no seu DNS. O trabalho é copiar os registros exatamente. **Resposta rápida — Como configuro o DKIM para um domínio de e-mail personalizado?** Abra as configurações de domínio do seu provedor de e-mail, copie os registros DKIM que ele mostra e publique-os no seu DNS sob o nome _domainkey: três registros CNAME para Proton Mail e Fastmail, quatro para Mailbox.org. A **Postelva** os hospeda no seu editor de DNS gratuito, e a assinatura começa quando o provedor detecta os registros. ## Registros DKIM de três provedores *Lido nas páginas de ajuda dos provedores em 12 de novembro de 2026. Os destinos do Proton Mail são exclusivos do seu domínio: copie-os da aba DKIM. Tuta, iCloud+, Migadu e Zoho Mail: copie os registros da tela de configuração do provedor.* | Provedor | Registros | Nomes (host) | Aponta para | | --- | --- | --- | --- | | Proton Mail | 3 CNAME | protonmail._domainkey, protonmail2._domainkey, protonmail3._domainkey | Um destino sob domains.proton.ch, exclusivo do seu domínio | | Mailbox.org | 4 CNAME | MBO0001._domainkey a MBO0004._domainkey | MBO0001._domainkey.mailbox.org e assim por diante até MBO0004 | | Fastmail | 3 CNAME | fm1._domainkey, fm2._domainkey, fm3._domainkey | fm1.seudominio.dkim.fmhosted.com, fm2 e fm3 da mesma forma | *Verificado pela última vez em 12 de novembro de 2026; números mais antigos trazem a própria data.* ## Configure o DKIM em cinco passos 1. **Abra a aba DKIM do seu provedor** — No Proton Mail são Configurações, Organização, Nomes de domínio e depois a aba DKIM do domínio. No Fastmail e no Mailbox.org as configurações do domínio listam os registros. 2. **Copie cada nome e destino** — Copie-os exatamente. Não os redigite: um caractere errado em um destino torna a chave ilegível. 3. **Adicione os registros no editor de DNS** — Crie um registro CNAME por linha, com o host indicado pelo provedor. Se o seu editor de DNS acrescenta o domínio sozinho, digite apenas a parte que vem antes dele. 4. **Aguarde e depois peça ao provedor para verificar** — Clique no botão de verificar ou conferir de novo do provedor. Um novo registro pode levar de alguns minutos a algumas horas para ser visível em todo lugar. 5. **Envie uma mensagem de teste e leia o resultado** — Envie uma mensagem para um endereço em outro provedor, abra os cabeçalhos completos e procure dkim=pass. Depois passe para o registro DMARC. *Registros CNAME de DKIM: padrões do Fastmail e do Mailbox.org* ```dns ; Fastmail (replace example.com with your domain) fm1._domainkey.example.com. IN CNAME fm1.example.com.dkim.fmhosted.com. fm2._domainkey.example.com. IN CNAME fm2.example.com.dkim.fmhosted.com. fm3._domainkey.example.com. IN CNAME fm3.example.com.dkim.fmhosted.com. ; Mailbox.org MBO0001._domainkey.example.com. IN CNAME MBO0001._domainkey.mailbox.org. MBO0002._domainkey.example.com. IN CNAME MBO0002._domainkey.mailbox.org. MBO0003._domainkey.example.com. IN CNAME MBO0003._domainkey.mailbox.org. MBO0004._domainkey.example.com. IN CNAME MBO0004._domainkey.mailbox.org. ``` ## Como funciona o DKIM? **O DKIM permite que o servidor de envio assine cada mensagem com uma chave privada e que qualquer receptor verifique a assinatura com uma chave pública publicada no DNS.** A assinatura fica em um cabeçalho DKIM-Signature. Ela traz o domínio de assinatura (d=), o seletor (s=), os cabeçalhos assinados (h=), um hash do corpo (bh=) e a própria assinatura (b=). A RFC 6376, um Internet Standard, define essas tags. O receptor monta o nome DNS a partir do seletor e do domínio: seletor._domainkey.domínio. Para o seletor fm1 e o domínio example.com, ele pede fm1._domainkey.example.com. A resposta é um registro com as tags v=DKIM1, k=rsa e p= seguido da chave pública em base64. Um p= vazio significa que a chave foi revogada. Uma assinatura válida prova duas coisas: a mensagem foi assinada por um sistema que possui a chave privada daquele domínio, e as partes assinadas não mudaram no trajeto. Ela não diz que a mensagem é desejada. Esse julgamento cabe ao DMARC, tratado em [SPF vs DKIM vs DMARC](https://postelva.com/pt/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?"). ## Por que os provedores pedem registros CNAME em vez de uma chave? **Um CNAME entrega a chave ao provedor: a chave pública fica no endereço do provedor e ele pode substituí-la sem pedir que você edite o DNS.** Proton Mail, Fastmail e Mailbox.org usam esse padrão. Seus registros são CNAMEs do nome do seu seletor para um host que eles controlam, que guarda o registro real da chave. O benefício é a rotação de chaves. A RFC 6376 aconselha publicar novas chaves sob novos seletores em vez de reutilizar um seletor, e o Proton Mail publica três seletores (protonmail, protonmail2, protonmail3), o que dá ao provedor espaço para passar de uma chave para a seguinte. O custo para você é a confiança: você depende de o host do provedor continuar respondendo. Segundo a comparação de Postelva de 12 de novembro de 2026, os três provedores cujos registros DKIM foram lidos em suas páginas de ajuda precisam de 3, 4 e 3 registros CNAME, 10 no total, e nenhum pede uma chave TXT. ## Qual deve ser o tamanho da chave DKIM? **Use uma chave RSA de 2048 bits; 1024 bits é o mínimo que a RFC 6376 permite para chaves de longa duração.** O padrão diz que os assinantes devem usar chaves RSA de pelo menos 1024 bits, e os verificadores devem ser capazes de checar chaves de 512 a 2048 bits. As diretrizes de remetentes do Google pedem pelo menos 1024 bits e recomendam 2048. Quando o provedor cria a chave, como na configuração com CNAME acima, o tamanho é escolha dele e não resta nada para você configurar. Quando você mesmo precisar escolher um tamanho, escolha 2048. Uma chave de 2048 bits é maior que uma string de 255 caracteres no DNS, então o valor TXT é dividido em várias strings, o que a maioria dos editores de DNS faz sozinha. O mesmo limite de editor se aplica ao registro SPF descrito em [como criar um registro SPF](https://postelva.com/pt/guides/spf-record-setup/ "How to create an SPF record for a custom domain"). ## Posso usar vários provedores em um domínio? **Sim: cada provedor assina com o próprio seletor, então os registros DKIM deles não colidem.** O seletor é a razão. A Proton usa protonmail, protonmail2 e protonmail3; o Fastmail usa fm1, fm2 e fm3; o Mailbox.org usa MBO0001 a MBO0004. Uma ferramenta de newsletter que envia em seu nome acrescenta um seletor próprio. O SPF é diferente: ele guarda um registro para todos os remetentes, com um limite de 10 consultas. Quando você deixa um provedor de vez, remova os registros DKIM dele depois de confirmar que o novo assina, para que uma chave abandonada não possa ser usada por quem obtiver acesso à conta antiga. Para a ordem completa de uma migração, veja [como mudar o e-mail para um novo provedor sem perder mensagens](https://postelva.com/pt/guides/move-email-provider-without-downtime/ "How to move email to a new provider without losing mail"). ## Como verifico se o DKIM funciona? **Consulte o seletor com o dig e depois envie uma mensagem real.** O comando dig CNAME fm1._domainkey.example.com +short deve imprimir o destino do provedor. Para uma chave TXT, peça TXT em vez disso. O teste decisivo é uma mensagem: os cabeçalhos da cópia recebida mostram se o servidor receptor registrou dkim=pass. Se o registro está correto e a verificação ainda falha, as causas usuais são um nome de host errado (o domínio acrescentado duas vezes pelo editor de DNS), um cache desatualizado ou uma mensagem enviada antes de o provedor ativar a assinatura. O próximo guia, [como verificar registros MX, SPF, DKIM e DMARC](https://postelva.com/pt/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records"), lista os comandos. Os passos do Fastmail estão completos no [guia de domínio personalizado do Fastmail](https://postelva.com/pt/guides/fastmail-custom-domain-setup/ "How to set up Fastmail with a custom domain"). ## Perguntas sobre a configuração do DKIM ### O que é um seletor DKIM? Um seletor é um rótulo escolhido pelo assinante que identifica uma chave, como fm1 ou protonmail. Ele permite que um domínio mantenha várias chaves ao mesmo tempo e as troque sem interrupção. ### Preciso de DKIM se já tenho SPF? Sim. O SPF quebra quando uma mensagem é encaminhada, enquanto uma assinatura DKIM sobrevive se a mensagem não for alterada. As regras de remetentes em massa do Gmail pedem os dois. ### Por que meu editor de DNS rejeita um registro que começa com sublinhado? Nomes com sublinhado como _domainkey são válidos no DNS, embora não sejam nomes de host válidos. Digite o host exatamente como o provedor mostra, sem acrescentar o domínio duas vezes. ### Posso mudar o seletor DKIM? O provedor o define. O Mailbox.org usa MBO0001 a MBO0004, o Fastmail fm1 a fm3 e o Proton Mail protonmail a protonmail3. Mantenha os nomes inalterados. ### O DKIM criptografa a mensagem? Não. Ele assina a mensagem para provar a origem e a integridade, e não oculta o conteúdo. **Em resumo** - O DKIM assina cada mensagem; a chave pública fica em seletor._domainkey.domínio. - Proton Mail e Fastmail precisam de 3 registros CNAME, Mailbox.org de 4. - Copie nomes e destinos exatamente da tela do provedor; os destinos do Proton Mail são exclusivos do seu domínio. - A RFC 6376 exige que os assinantes usem chaves RSA de pelo menos 1024 bits; 2048 é recomendado. - Cada provedor usa seus próprios seletores, então vários podem assinar para um domínio. - Teste com dig e uma mensagem real que mostre dkim=pass. - A Postelva hospeda os registros em DNS gratuito; um .com custa US$ 12,49/ano todos os anos. ## Fontes 1. [RFC 6376, DomainKeys Identified Mail (DKIM) Signatures](https://www.rfc-editor.org/rfc/rfc6376.html) — RFC Editor (lido em 2026-11-12) 2. [Diretrizes para remetentes de e-mail](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (lido em 2026-11-12) 3. [Domínio personalizado e antifalsificação](https://proton.me/support/anti-spoofing-custom-domain) — Proton (lido em 2026-11-12) 4. [SPF, DKIM e DMARC para um domínio personalizado](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (lido em 2026-11-12) 5. [Ajuda de DNS do Fastmail](https://www.fastmail.help/hc/en-us/articles/360060591153) — Fastmail (lido em 2026-11-12) --- Postelva: A Postelva registra nomes de domínio para e-mail privado — o endereço que você mantém quando troca de provedor — pagos em cripto e sem KYC: sem documento de identidade, apenas um e-mail verificado por domínio. Ela é operada pela DomaineGoat LLC, empresa registrada no Panamá; os domínios são registrados por meio de seu parceiro registrador credenciado pela ICANN. Um .com custa US$ 12,49/ano, o mesmo preço todos os anos.