DKIM: Conceito, funcionamento e importância na autenticação de e-mails

Visão geral

O DKIM (DomainKeys Identified Mail) é um protocolo de segurança que adiciona uma assinatura digital criptografada aos e-mails enviados. Essa assinatura comprova que a mensagem partiu legitimamente do domínio remetente informado e assegura que o conteúdo do e-mail não sofreu alterações ou adulterações durante o percurso até o destinatário.

Quando usar este artigo

Utilize este artigo para compreender o conceito e o funcionamento da assinatura digital DKIM, reconhecer sua importância na prevenção de fraudes de e-mail e entender como ela auxilia na garantia da entregabilidade dos disparos feitos em nome da sua empresa.

Sintoma ou cenário

Mensagens de e-mail enviadas pela plataforma caindo na caixa de SPAM dos destinatários.
Provedores de e-mail (Gmail, Outlook, Yahoo) apontando falta de autenticação digital nos cabeçalhos dos e-mails recebidos.
Necessidade de autorizar o envio de e-mails por sistemas terceiros em nome do seu domínio com segurança e boa reputação.

Benefício para o usuário ou operação

Aumento no índice de entrega das mensagens diretamente na caixa de entrada dos clientes;
Proteção do domínio contra envios não autorizados e falsificação de identidade (spoofing);
Garantia da integridade do conteúdo do e-mail contra modificações durante o trajeto de envio;
Fortalecimento da reputação do domínio remetente em conjunto com os protocolos SPF e DMARC.

Onde acessar / contexto de uso

A verificação da assinatura DKIM é realizada nos cabeçalhos das mensagens recebidas, enquanto sua ativação requer a configuração de chaves na zona de gerenciamento de DNS do provedor de hospedagem do seu domínio.

Pré-requisitos (Antes de começar)

Perfil Exato: Acesso Administrativo (1000) ou Configurações - Alteração (1061), além de acesso administrativo ao painel do provedor de hospedagem do seu domínio (DNS).
Recursos Sistêmicos: Módulo de envio de e-mails ativo e acesso ao painel de gerenciamento de DNS do domínio da empresa.
Insumos e Dados Técnicos: Nome do domínio corporativo utilizado para envio de e-mails e chave pública gerada para cadastro no DNS.

Causas prováveis

Envio de e-mails corporativos por plataformas de terceiros sem a devida publicação da chave pública DKIM no DNS do domínio remetente.
Ausência de autenticação digital nos cabeçalhos, fazendo com que os provedores destinatários considerem as mensagens como suspeitas.

Como fazer ou corrigir

O DKIM funciona por meio de um par de chaves criptográficas: uma chave privada (mantida pelo sistema de envio para gerar a assinatura) e uma chave pública (publicada no DNS do seu domínio para permitir a validação pelo servidor recebedor).

O sistema responsável pelo envio gera uma assinatura digital no cabeçalho do e-mail utilizando a chave privada.
O e-mail é disparado contendo a assinatura digital anexada ao seu cabeçalho.
O servidor de destino (como Gmail, Outlook ou Yahoo) recebe o e-mail e consulta a zona de DNS do domínio remetente.
O servidor destinatário utiliza a chave pública cadastrada no DNS para decodificar e validar a assinatura.
Se a assinatura for válida e corresponder ao conteúdo transmitido, o e-mail é confirmado como autêntico e entregue ao destinatário.

Resultado esperado

Entendimento do mecanismo do DKIM e validação das mensagens enviadas com assinatura digital, assegurando a autenticidade do remetente e a integridade do conteúdo entregue.

Quando escalar

Escale o atendimento para a equipe técnica de TI ou especialista de infraestrutura responsável caso a chave pública DKIM esteja cadastrada corretamente na zona de DNS, mas as mensagens continuem apresentando falha de verificação nos cabeçalhos de recebimento. Ao detectar falhas na entrega de e-mails, solicite à equipe de TI ou ao técnico responsável que realize um levantamento minucioso dos erros de retorno (bounces) dos e-mails e valide os fatores que podem estar causando o problema.

Informações que devem ser reunidas antes do escalonamento

Nome da licença,
Nome do domínio afetado
Captura de tela do registro TXT/CNAME da chave DKIM cadastrado na zona de DNS
Cabeçalho completo (header) do e-mail recebido com a indicação de falha na verificação
Relatório ou levantamento dos erros de retorno (bounces) emitido pela equipe de TI/técnico responsável

Regras importantes / Observações

O DKIM atua diretamente como um indicador de confiança para os filtros antispam dos principais provedores de e-mail.
Qualquer alteração realizada no conteúdo do e-mail durante o transporte invalida a assinatura digital DKIM.
Para uma estrutura completa de segurança e entregabilidade, configure o DKIM em conjunto com os protocolos SPF e DMARC.

Problemas comuns e como resolver

Problema: O servidor de destino indica que a assinatura DKIM é inválida (dkim=fail).
- Causa provável: Incompatibilidade entre a chave privada de envio e a chave pública cadastrada no DNS ou erro de digitação no registro TXT/CNAME.
- Ação recomendada: Copie novamente a chave pública fornecida no painel de envio e atualize o registro na zona de DNS com atenção a caracteres ou espaços extras.

Dúvidas relacionadas

P: O que significa a sigla DKIM? R: DKIM significa DomainKeys Identified Mail, um método de autenticação digital para e-mails.

P: O DKIM substitui a necessidade do registro SPF? R: Não, o DKIM garante a integridade do conteúdo e a autoria da mensagem, enquanto o SPF autoriza quais servidores podem enviar e-mails pelo domínio; os dois protocolos funcionam juntos.

P: Por que o DKIM é indispensável ao utilizar sistemas de terceiros como a Superlógica? R: Porque quando uma plataforma externa dispara e-mails em nome do seu domínio, os provedores destinatários exigem a validação DKIM para ter certeza de que o envio foi autorizado e não se trata de uma fraude.

Palavras-chave de busca

dkim, domainkeys identified mail, autenticacao de e-mail, assinatura digital, chave publica dkim, chave privada dkim, entregabilidade, reputacao de dominio, spam

Relativo a