Guia de implementação do DKIM: Armadilhas comuns e como evitá-las

O DKIM (Domain Keys Identified Mail) é um protocolo crítico de autenticação de correio eletrónico que verifica a integridade da mensagem e a legitimidade do remetente. O DKIM é essencial para o BIMI (Brand Indicators for Message Identification), porque apenas os e-mails devidamente autenticados podem apresentar o logótipo da sua marca na caixa de entrada. No entanto, a configuração do DKIM está sujeita a várias armadilhas comuns que podem comprometer a segurança e a capacidade de entrega.

• Chave pública em falta ou incorrecta no DNS: Se a chave pública DKIM não for publicada ou estiver formatada incorretamente no seu DNS, a autenticação falhará. Utilize sempre um gerador de registos DKIM e valide as suas entradas de DNS quanto a erros de sintaxe.
• Comprimento de chave fraco ou desatualizado: A utilização de chaves com menos de 1024 bits (por exemplo, 512 bits) torna o seu DKIM vulnerável a ataques. Utilize pelo menos chaves de 1024 bits - recomenda-se a utilização de chaves de 2048 bits - e altere-as a cada 6-12 meses.
• Problemas de alinhamento: O domínio na assinatura DKIM (valor d=) deve corresponder ao domínio no endereço "De". O desalinhamento leva a falhas de autenticação e pode quebrar a conformidade com o DMARC.
• Incompatibilidade do seletor: O seletor no seu registo DNS tem de corresponder ao seletor no seu cabeçalho de correio eletrónico. Mesmo um erro de um único carácter pode causar falhas.
• Formatação incorrecta: Os registos DKIM têm de ser uma cadeia de caracteres única e ininterrupta no DNS. Quebras de linha, pontos e vírgulas não escapados ou campos em falta (como v=DKIM1 ou k=rsa) invalidam o registo.
• Esquecer-se de ativar a assinatura DKIM: Publicar o registo DNS não é suficiente - certifique-se de que a assinatura DKIM está activada no seu servidor de correio eletrónico ou no seu fornecedor de correio eletrónico.
• Ignorar subdomínios e fornecedores de terceiros: Se enviar correio de subdomínios ou utilizar serviços de terceiros, cada um deve ter o DKIM corretamente configurado para evitar falhas na autenticação.
• Não monitorizar ou testar: Teste regularmente a sua configuração DKIM e monitorize os relatórios DMARC para detetar problemas atempadamente. Após quaisquer alterações, envie emails de teste e verifique se o DKIM é aprovado.

• Utilize chaves fortes e com rotação regular: 1024-2048 bits.
• Verificar duas vezes a formatação do DNS e o alinhamento dos selectores: Assegurar a sintaxe correta e a correspondência dos selectores.
• Alinhar os domínios DKIM: O domínio na assinatura DKIM deve corresponder ao seu endereço "De".
• Teste após cada atualização: Monitorize os resultados da autenticação com relatórios DMARC.
• Coordenar com remetentes de terceiros: Certifique-se de que todos os fornecedores implementam o DKIM corretamente.
• Revogar chaves antigas ou comprometidas: E remova-as do DNS para evitar o uso indevido.

• Verifique se há atrasos na propagação do DNS: As alterações podem demorar até 48 horas.
• Analise os relatórios de falha do DMARC e do DKIM: Procure pistas sobre o que está a falhar e porquê.
• Verifique se o conteúdo da mensagem não é alterado após a assinatura: Certifique-se de que as ferramentas de encaminhamento ou de segurança não estão a modificar a mensagem.
• Consulte a documentação do seu fornecedor de serviços de correio eletrónico: Siga as orientações específicas da plataforma para solucionar problemas de autenticação.