Configurare DKIM per la posta aziendale

Prima di cambiare una chiave

Controlli prima lo stato attuale della firma e i record DNS. Una ricerca senza risposta per un selettore comune non dimostra che DKIM manchi: il mittente può usare un altro nome. Mantenga i selettori funzionanti e i record MX, SPF e DMARC. Una casella o un alias di ricezione non identifica tutti i servizi che inviano la Sua posta.

Google Workspace

1. Chieda al Suo super amministratore di aprire App → Google Workspace → Gmail → Autentica email e di selezionare il dominio di invio esatto. Se la firma funziona già, mantenga la chiave attuale.
2. Per una nuova configurazione, scelga Genera nuovo record e una chiave a 2048 bit, se il Suo fornitore DNS la supporta. Usi un selettore non ancora utilizzato. Copi il nome e il valore TXT completi mostrati da Google; non riutilizzi mai la chiave di un altro dominio.
3. Pubblichi esattamente quel record TXT presso il Suo fornitore DNS, seguendo il suo formato del nome host per non aggiungere il dominio due volte. Poi torni in Google Admin e scelga Avvia autenticazione. Controlli che lo stato indichi che l’autenticazione delle e-mail con DKIM è attiva.

Un servizio Gmail appena attivato può richiedere 24–72 ore prima della generazione della chiave. DNS e autenticazione possono richiedere fino a 48 ore. Un fornitore potrebbe aver già creato il record; controlli prima di aggiungerne uno. Le istruzioni DKIM di Google

Microsoft 365

1. Il Suo dominio personalizzato deve essere già aggiunto a Microsoft 365. In Microsoft Defender, apra Posta elettronica e collaborazione → Criteri e regole → Criteri di minaccia → Impostazioni di autenticazione della posta elettronica → DKIM, poi selezioni quel dominio.
2. Se il dominio mostra NoDKIMKeys, attivi la firma per generare le istruzioni delle chiavi. L’errore CNAME iniziale è previsto finché il DNS non è pronto; lo chiuda, apra i dettagli del dominio e cerchi Pubblica CNAME. Copi entrambe le destinazioni esatte per selector1._domainkey e selector2._domainkey.
3. Pubblichi entrambi i record CNAME, mantenendo i record non correlati. Usi i valori di destinazione restituiti dal Suo tenant: Microsoft assegna una parte di ciascun nome, quindi esempi e valori dedotti dai record MX non vanno bene. Mantenga un TTL di almeno 3600 secondi.
4. Quando Microsoft rileva i CNAME, attivi la firma DKIM dei messaggi per questo dominio e confermi che lo stato indichi che le firme DKIM sono attive per questo dominio. Il rilevamento può richiedere diversi minuti o più.

Configurazione e risoluzione dei problemi DKIM di Microsoft

Verificare un messaggio inviato dopo l’attivazione

Dopo la propagazione DNS e l’attivazione, invii da ogni servizio e indirizzo From a una casella esterna separata che controlla, con il permesso di inviare il test. Un altro alias della stessa casella non basta; la posta interna può seguire un percorso di firma diverso.

• Apra le intestazioni originali del messaggio ricevuto. In DKIM-Signature, d= identifica il dominio che firma e s= il selettore effettivo.
• Cerchi dkim=pass in Authentication-Results del servizio destinatario. Controlli che il dominio della firma valida sia allineato con il dominio From visibile secondo la Sua policy DMARC. Un esito positivo solo per il dominio del fornitore non basta.
• Conservi in modo riservato il messaggio e l’ora dell’osservazione. La posta precedente serve solo come riferimento iniziale. Una chiave pubblicata, da sola, non dimostra né la firma attiva né la consegna nella posta in arrivo.

Configurare DMARC per Google Workspace