Configurar o DKIM para o e-mail da sua empresa

Antes de alterar uma chave

Verifique primeiro o estado atual da assinatura e os registos DNS. A falha na consulta de um seletor comum não prova que o DKIM esteja em falta: o remetente pode usar outro nome. Mantenha os seletores que funcionam e os registos MX, SPF e DMARC. Uma caixa de correio ou um alias de receção não identifica todos os serviços que enviam o seu e-mail.

Google Workspace

1. Peça ao seu superadministrador que abra Aplicações → Google Workspace → Gmail → Autenticar email e selecione o domínio de envio exato. Se a assinatura já funcionar, mantenha a chave atual.
2. Numa configuração nova, escolha Gerar novo registo e uma chave de 2048 bits, se o seu fornecedor de DNS a suportar. Utilize um seletor não utilizado. Copie o nome e o valor TXT completos apresentados pela Google; nunca reutilize a chave de outro domínio.
3. Publique esse registo TXT exato no seu fornecedor de DNS, respeitando o formato de nome de anfitrião dele para não acrescentar o domínio duas vezes. Depois, volte à Consola do Google Admin e escolha Iniciar autenticação. Confirme que o estado indica que o email está a ser autenticado com DKIM.

Um serviço Gmail ativado recentemente pode precisar de 24 a 72 horas antes de ser possível gerar a chave. O DNS e a autenticação podem demorar até 48 horas. Um fornecedor pode já ter criado o registo; verifique antes de adicionar outro. Instruções DKIM da Google

Microsoft 365

1. O seu domínio personalizado tem de já estar adicionado ao Microsoft 365. No Microsoft Defender, abra E-mail e colaboração → Políticas e regras → Políticas de ameaças → Definições de autenticação de e-mail → DKIM e selecione esse domínio.
2. Se o domínio apresentar NoDKIMKeys, ative a assinatura para gerar as instruções da chave. O erro CNAME inicial é esperado enquanto o DNS não estiver pronto; feche-o, abra os detalhes do domínio e procure Publicar CNAMEs. Copie os dois destinos exatos de selector1._domainkey e selector2._domainkey.
3. Publique os dois registos CNAME, mantendo os registos não relacionados. Utilize os valores de destino devolvidos pelo seu inquilino (tenant): a Microsoft atribui parte de cada nome, pelo que os exemplos e os valores deduzidos dos registos MX não servem. Mantenha um TTL de pelo menos 3600 segundos.
4. Quando a Microsoft detetar os CNAME, ative a opção de assinar as mensagens deste domínio com assinaturas DKIM e confirme o estado que indica que as assinaturas DKIM estão a ser aplicadas a este domínio. A deteção pode demorar vários minutos ou mais.

Configuração e resolução de problemas do DKIM da Microsoft

Verificar uma mensagem enviada após a ativação

Depois da propagação DNS e da ativação, envie a partir de cada serviço e endereço de remetente para uma caixa de correio externa separada que controle, com permissão para enviar o teste. Outro alias da mesma caixa de correio não chega; o correio interno pode seguir um percurso de assinatura diferente.

• Abra os cabeçalhos originais da mensagem recebida. Em DKIM-Signature, d= identifica o domínio que assina e s= o seletor efetivamente utilizado.
• Procure dkim=pass no Authentication-Results do serviço destinatário. Verifique se o domínio da assinatura válida está alinhado com o domínio visível do remetente (campo De), segundo a sua política DMARC. Um resultado positivo apenas para o domínio próprio do fornecedor não é suficiente.
• Guarde a mensagem e a hora da observação em privado. O correio anterior serve apenas de referência de partida. Uma chave publicada, por si só, não prova uma assinatura ativa nem a entrega na caixa de entrada.

Configurar o DMARC para o Google Workspace