DKIM spiegato: come funziona
Cos'è esattamente DKIM?
DKIM è uno dei tre pilastri dell'autenticazione email, insieme a SPF e DMARC. Il nome sta per DomainKeys Identified Mail. Se SPF controlla quale server può inviare, DKIM fa un passo in più: dimostra che il contenuto del tuo messaggio non è stato modificato lungo il percorso.
Funziona con una coppia di chiavi. C'è una chiave segreta (privata) che conosce solo il tuo server di invio, e una chiave pubblica che pubblichi nel tuo DNS. Al momento dell'invio il server appone con la chiave segreta una firma sul messaggio. Il destinatario recupera la tua chiave pubblica e verifica con essa se la firma è valida.
Pensalo come un sigillo di ceralacca su una lettera. Solo tu hai il timbro (la chiave segreta), e chiunque può vedere dal sigillo se la lettera è stata aperta lungo il percorso. Se la firma è valida, il destinatario sa due cose: il messaggio arriva davvero dal tuo dominio e il contenuto non è stato manipolato.
Cosa fa DKIM per te?
DKIM offre tre vantaggi concreti.
- Prova di autenticità. La firma conferma che il messaggio arriva dal tuo dominio.
- Protezione contro la manipolazione. Se il contenuto viene modificato lungo il percorso, la firma non è più valida e la cosa salta all'occhio.
- Deliverability migliore. I grandi provider di posta considerano le firme DKIM valide un segno di mittente serio, il che aumenta le probabilità di arrivare nella posta in arrivo.
Dal 2024 questo conta ancora di più: i grandi provider di posta esigono da chi invia in massa che la propria email sia autenticata correttamente, e DKIM ne è una parte fissa. Se noti che i tuoi messaggi finiscono comunque nello spam, leggi perché le tue email finiscono nello spam.
Come impostare bene DKIM?
Impostare DKIM si riduce a due cose: il server di invio fa firmare i messaggi, e tu pubblichi la chiave pubblica corrispondente nel tuo DNS.
I passaggi in sintesi:
- Genera una coppia di chiavi (di solito lo fa il tuo provider email). La chiave segreta resta sul server; la chiave pubblica la ricevi tu.
- Pubblica la chiave pubblica come record DNS di tipo TXT, a un indirizzo con un cosiddetto selettore, per esempio
selector1._domainkey.tuodominio.eu. - Attiva la firma sul server di invio, così ogni messaggio in uscita riceve una firma.
- Invia un messaggio di prova e verifica che la firma risulti valida presso il destinatario.
A cosa fare attenzione:
- Il selettore deve corrispondere. Il nome indicato nella firma deve coincidere esattamente con il record DNS che pubblichi.
- Custodisci bene la chiave segreta. Se trapela, qualcun altro può creare firme valide a tuo nome. In quel caso ruota la chiave.
- Copia la chiave pubblica per intero. Un solo carattere mancante rende la verifica non valida.
- Scegli una chiave abbastanza robusta (oggi si consiglia 2048 bit rispetto a 1024 bit).
Se vuoi farlo da solo, segui la guida dedicata per configurare il record DKIM. Una definizione sintetica la trovi nel glossario alla voce DKIM.
DKIM funziona meglio insieme a SPF e DMARC
DKIM dimostra che il tuo messaggio è autentico e non modificato, ma da solo non dice quali server possono inviare (questo lo fa SPF) e non stabilisce cosa deve succedere se un controllo fallisce (questo lo fa DMARC). Solo con tutti e tre al loro posto chiudi davvero la porta. Come armonizzarli lo leggi nella guida per configurare SPF, DKIM e DMARC insieme.
Come Mailflux se ne occupa per te
Con Mailflux non devi generare chiavi né incollare record DNS. Gestiamo noi SPF, DKIM e DMARC per il tuo dominio e sorvegliamo la reputazione IP dei nostri server di invio, così la tua posta in uscita è firmata come si deve e porta con sé i segnali giusti. Ogni piano filtra inoltre spam, phishing e malware con il machine learning, con antivirus, antispam, antimalware e backup automatici di serie.
Ricevi email professionale sul tuo dominio, ospitata in Europa e conforme al GDPR, con autenticazione a due fattori opzionale. Le firme dietro le quinte le gestiamo noi.
FAQ
Domande frequenti
Qual è la differenza tra SPF e DKIM?
SPF controlla quali server possono inviare a nome del tuo dominio; DKIM dimostra con una firma digitale che un messaggio arriva davvero da te e non è stato modificato lungo il percorso. Si completano a vicenda: SPF guarda il mittente, DKIM il contenuto. Per una protezione completa li usi entrambi, insieme a DMARC.
Cos'è un selettore DKIM?
Un selettore è un'etichetta che indica quale chiave pubblica appartiene a una firma, per esempio selector1. Così puoi usare più chiavi in parallelo e ruotarle in sicurezza. Il selettore nella tua firma in uscita deve coincidere esattamente con il record DNS corrispondente, altrimenti la verifica fallisce.
Devo sostituire la mia chiave DKIM?
È buona norma ruotare la chiave ogni tanto, e di sicuro se sospetti che la chiave segreta sia trapelata. Oggi si consiglia una chiave robusta (2048 bit). Con un servizio email gestito la rotazione avviene di solito in automatico, senza che tu debba fare nulla.