Guida e risoluzione dei problemi
DKIM
Di cosa si tratta
Il DKIM firma la posta in uscita con una chiave privata; i destinatari recuperano la chiave pubblica da selettore._domainkey.tuodominio.com per verificare che il messaggio fosse autorizzato e non modificato. Ogni provider usa il proprio nome di selettore.
Come leggere il risultato
Un record sano contiene p= seguito da una lunga chiave in base64. Un p= vuoto significa che la chiave è stata revocata. Non trovare un record spesso significa semplicemente che hai interrogato il selettore sbagliato: controlla la documentazione del tuo provider per l'esatto nome del selettore.
Problemi comuni e come risolverli
Record DKIM mancante per il selettore con cui il provider firma
Come si manifesta: I destinatari mostrano dkim=fail o dkim=none; i report DMARC elencano come fonti in errore quelle che in realtà sono del tuo stesso provider.
Come risolverlo: Copia il record esatto (selettore e valore) dalla console di amministrazione del tuo provider di posta nel DNS. Per Microsoft 365 e alcuni altri, devi anche cliccare "abilita DKIM" nella console dopo aver pubblicato i CNAME.
Record troncato o riformattato dal provider DNS
Come si manifesta: La verifica DKIM fallisce anche se il record "esiste"; la chiave nel DNS differisce leggermente da quella emessa.
Come risolverlo: Reincolla il valore; per le chiavi superiori a 255 caratteri assicurati che il provider le suddivida correttamente in più stringhe tra virgolette. Verifica con una ricerca e confronta l'intero valore p= carattere per carattere.
Chiave mai ruotata
Come si manifesta: La stessa chiave DKIM firma la posta da anni; una compromissione di quella chiave permetterebbe agli attaccanti di firmare a tuo nome indefinitamente.
Come risolverlo: Ruota le chiavi periodicamente (i provider con selettori accoppiati come selector1/selector2 automatizzano questo). Pubblica la nuova chiave, cambia la firma, poi revoca la vecchia con un p= vuoto dopo un periodo di transizione.