La guida completa del 2026 su come verificare le tue e-mail, impedire la manomissione e contrastare l'usurpazione di dominio. Il DKIM è uno dei tre principali protocolli di autenticazione delle e-mail, insieme a SPF e DMARC. Utilizza firme crittografiche per dimostrare che un’e-mail è stata autorizzata dal proprio dominio e che il suo contenuto non è stato modificato durante il transito. Ciò aiuta i server di posta in ricezione a distinguere i messaggi legittimi da quelli contraffatti o manomessi, migliorando sia la sicurezza che la deliverability delle e-mail. In questa guida scoprirai cos’è il DKIM, come funziona, come pubblicare e convalidare i record DKIM, come risolvere i problemi più comuni relativi all’autenticazione, come ruotare le chiavi di firma e come il DKIM interagisce con SPF e DMARC per proteggere il tuo dominio. Generare chiavi, pubblicare record, abilitare la firma Correggere selettori, firme e allineamento Far sì che il DKIM venga conteggiato ai fini del DMARC Controllare, generare e convalidare i record DomainKeys Identified Mail (DKIM) è un protocollo di autenticazione della posta elettronica che utilizza la crittografia a chiave pubblica per verificare che un’e-mail provenga effettivamente dal proprio dominio e non sia stata modificata dopo l’invio. Anziché basarsi esclusivamente sull’indirizzo IP del server mittente, DKIM appone una firma digitale univoca a ogni e-mail in uscita. Quando un server di posta in ricezione riceve il tuo messaggio, recupera la tua chiave pubblica dal DNS e la utilizza per convalidare la firma. Se la firma corrisponde, il messaggio supera l'autenticazione DKIM. DKIM funziona utilizzando una coppia di chiavi crittografiche: una chiave privata e una chiave pubblica. La chiave privata rimane al sicuro sul tuo server di posta in uscita o presso il tuo provider di servizi di posta elettronica. Ogni volta che viene inviata un'e-mail, questa chiave privata genera una firma digitale univoca basata su parti specifiche del messaggio, come il corpo del testo e alcune intestazioni selezionate. La firma viene quindi aggiunta all'e-mail sotto forma di intestazione DKIM-Signature. Quando l'e-mail raggiunge il destinatario, il suo server di posta estrae dall'intestazione il dominio e il selettore della firma, recupera la chiave pubblica corrispondente dai tuoi record DNS e verifica la firma. Se tutti i dati corrispondono, il controllo DKIM ha esito positivo. Se l'e-mail è stata modificata dopo la firma o se la firma non può essere verificata, l'autenticazione fallisce. Una chiave pubblica DKIM viene pubblicata come record TXT del DNS. Questo record indica ai server di posta riceventi come verificare la firma allegata alle tue e-mail. Un record DKIM di base si presenta così: Un selettore DKIM identifica quale chiave pubblica debba essere utilizzata per convalidare una specifica firma e-mail. Anziché pubblicare un'unica chiave DKIM per un intero dominio, le organizzazioni possono creare più selettori che rimandano a chiavi diverse. Ciò consente a diversi provider di posta elettronica, applicazioni o reparti di utilizzare chiavi di firma separate senza interferire tra loro. Ad esempio, la tua piattaforma di marketing potrebbe firmare le e-mail utilizzando un selettore, mentre Microsoft 365 ne utilizza un altro. Un selettore tipico ha questo aspetto: La configurazione di DKIM prevede la generazione di una coppia di chiavi, la pubblicazione della chiave pubblica nel DNS e la configurazione del servizio di posta elettronica in modo che i messaggi in uscita vengano firmati utilizzando la chiave privata corrispondente. La procedura esatta varia leggermente a seconda del provider di posta elettronica utilizzato, ma il flusso di lavoro generale rimane lo stesso. Il generatore gratuito di record DKIM di PowerDMARC crea una coppia di chiavi pubblica/privata in pochi secondi, aiutandoti a generare un record DKIM accurato che puoi pubblicare direttamente nel tuo DNS. Supporta le chiavi da 2048 bit raccomandate ed elimina gli errori di formattazione che spesso causano errori di autenticazione DKIM. Dopo aver pubblicato il record DKIM, il passo successivo consiste nel verificare che funzioni come previsto. Ciò significa controllare che il proprio servizio di posta elettronica generi correttamente le firme DKIM e che i server di posta destinatari siano in grado di convalidarle con successo. È inoltre possibile controllare manualmente le intestazioni dei messaggi in Gmail, Outlook o Apple Mail per verificare i risultati dell'autenticazione DKIM. Invece di controllare manualmente ogni singolo elemento, puoi verificare la tua configurazione DKIM in un unico passaggio. Il DKIM Checker gratuito di PowerDMARC conferma che il tuo record DNS sia pubblicato correttamente, convalida il tuo selettore e la tua chiave pubblica, verifica se le tue e-mail vengono firmate ed evidenzia eventuali problemi di configurazione che potrebbero influire sull'autenticazione o sulla deliverability. Anche quando DKIM è configurato, possono verificarsi errori di autenticazione dovuti a configurazioni DNS errate, chiavi scadute, selettori non corretti o modifiche ai messaggi durante il transito. La maggior parte dei problemi non è causata dal protocollo DKIM in sé, poiché molti di essi derivano da scostamenti nella configurazione o da modifiche all'infrastruttura. Ecco una breve panoramica degli errori DKIM più comuni e di come risolverli: Se il DKIM dovesse improvvisamente smettere di funzionare dopo aver cambiato provider di posta elettronica o aggiornato il DNS, verifica di utilizzare il selettore corretto, che la tua chiave pubblica sia stata propagata correttamente e che la tua piattaforma di posta elettronica stia effettivamente firmando i messaggi in uscita. Il fatto che una firma DKIM sia valida non significa automaticamente che un’e-mail superi il controllo DMARC. DMARC richiede l'allineamento, ovvero che il dominio utilizzato per firmare l'e-mail (il Per esempio: Anche se la firma DKIM viene convalidata correttamente, DMARC può comunque fallire se il dominio firmatario non corrisponde al dominio "Da". DMARC supporta due modalità di allineamento: Molte organizzazioni si affidano a piattaforme di posta elettronica di terze parti per le newsletter, le e-mail transazionali o le campagne di marketing. Se questi servizi firmano i messaggi utilizzando il proprio dominio anziché il vostro, il controllo DKIM viene superato, ma quello DMARC fallisce a causa di un disallineamento. La configurazione della firma DKIM personalizzata per ciascun provider contribuisce a garantire che l'autenticazione avvenga sempre con successo. L'efficacia del DKIM dipende in gran parte dalla chiave crittografica utilizzata per firmare le tue e-mail. Sebbene un tempo le chiavi RSA a 1024 bit fossero lo standard, le attuali raccomandazioni in materia di sicurezza privilegiano le chiavi RSA a 2048 bit, che offrono una protezione più efficace contro gli attacchi di forza bruta e sono conformi alle migliori pratiche attualmente in uso nel settore. Una rotazione regolare delle chiavi riduce l'impatto della compromissione di una chiave privata e aiuta le organizzazioni a mantenere buone pratiche di sicurezza nella gestione della posta elettronica. L'uso dei selettori rende questa transizione fluida, poiché le chiavi vecchie e quelle nuove possono coesistere durante il periodo di migrazione. Le organizzazioni che gestiscono più domini o provider di posta elettronica spesso automatizzano questo processo per ridurre i costi operativi ed eliminare il rischio che le chiavi DKIM diventino obsolete o vengano dimenticate. SPF, DKIM e DMARC sono protocolli complementari progettati per risolvere diversi aspetti dell'autenticazione delle e-mail. Anziché privilegiare un protocollo rispetto a un altro, le organizzazioni dovrebbero implementarli tutti e tre. Ad esempio: Insieme, garantiscono una protezione notevolmente più efficace contro gli attacchi di spoofing, phishing e usurpazione d'identità rispetto a quella che qualsiasi protocollo può offrire da solo. La gestione del DKIM su più provider di posta elettronica diventa sempre più complessa man mano che le organizzazioni crescono. Le diverse piattaforme di marketing, i sistemi CRM, gli help desk e i servizi di posta elettronica transazionale richiedono spesso selettori DKIM distinti, record DNS univoci e una rotazione periodica delle chiavi. Il servizio DKIM in hosting semplifica questo processo centralizzando la gestione del DKIM, riducendo la manutenzione manuale del DNS e aiutando le organizzazioni a garantire un’autenticazione corretta su tutte le piattaforme di invio. Se gestisci il DKIM su più domini o provider di posta elettronica, la rotazione manuale delle chiavi può diventare rapidamente difficile da gestire. Il servizio Hosted DKIM di PowerDMARC ti consente di gestire i selettori, ruotare le chiavi di firma e aggiornare i record DKIM da una dashboard centralizzata dopo una configurazione DNS una tantum, riducendo le modifiche manuali e contribuendo al contempo a mantenere un'autenticazione coerente in tutta la tua infrastruttura di posta elettronica. Seguire alcune best practice operative può migliorare in modo significativo sia l'affidabilità dell'autenticazione sia la gestibilità a lungo termine. Il monitoraggio regolare è importante tanto quanto la configurazione iniziale. I provider di posta elettronica modificano le configurazioni, i record DNS si evolvono e, col passare del tempo, vengono aggiunti nuovi servizi di invio. Le verifiche periodiche contribuiscono a garantire che DKIM continui a proteggere il tuo dominio man mano che la tua infrastruttura di posta elettronica cresce. Il DKIM svolge un ruolo fondamentale nell'autenticazione moderna delle e-mail, consentendo ai server di posta in ricezione di verificare che le tue e-mail provengano effettivamente dal tuo dominio e non siano state modificate durante il transito. Pur rappresentando un livello essenziale di protezione contro lo spoofing e il phishing, il DKIM è più efficace se implementato insieme all'SPF e applicato tramite il DMARC. Che si tratti di configurare DKIM per la prima volta, di risolvere problemi di autenticazione o di gestire più piattaforme di posta elettronica, il mantenimento di record DKIM corretti dovrebbe essere un processo continuo. La verifica periodica, la rotazione delle chiavi e il monitoraggio contribuiscono a garantire che l’autenticazione delle e-mail rimanga efficace man mano che l’infrastruttura si evolve. Utilizza lo strumento gratuito DKIM Checker di PowerDMARC per verificare la tua configurazione, genera nuovi record DKIM con il DKIM Record Generator e semplifica la gestione continua delle chiavi con Hosted DKIM se devi proteggere più domini o servizi di posta elettronica. Prendi il controllo dell'autenticazione delle tue e-mail con gli strumenti DKIM gratuiti di PowerDMARC. Verifica immediatamente il tuo dominio, genera una nuova coppia di chiavi o esplora l'intera piattaforma. Proteggi le tue e-mail da eventuali manomissioni e acquisisci fiducia nella tua configurazione. Non è richiesta alcuna registrazione. Verifica immediatamente il record DKIM del tuo dominio, convalida il selettore e la chiave pubblica e individua eventuali problemi di configurazione. Genera una coppia di chiavi pubblica/privata e un record DKIM valido in pochi secondi, senza doverlo configurare manualmente. PowerDMARC ti aiuta a passare dalla semplice visibilità alla protezione completa, senza lasciare nulla al caso. Dalla generazione e rotazione delle chiavi DKIM all’applicazione delle politiche DMARC e all’analisi di report dettagliati, la piattaforma ti offre il controllo completo sull’autenticazione delle tue e-mail. Anche se gestisci più domini e provider, PowerDMARC semplifica il monitoraggio, l’applicazione delle politiche, la generazione di report e la gestione multidominio da un’unica dashboard centralizzata. La piattaforma è stata progettata tenendo conto della sicurezza e della conformità di livello aziendale, in conformità con gli standard SOC 2, ISO 27001 e GDPR, in modo che i tuoi dati rimangano protetti mentre la sicurezza della tua posta elettronica cresce. I clienti si affidano a PowerDMARC non solo per la sua completezza, ma anche per la sua chiarezza. "PowerDMARC è uno strumento estremamente potente e completo che semplifica notevolmente il lavoro quotidiano di monitoraggio delle funzionalità di autenticazione e sicurezza della posta elettronica. Offre una visibilità e una chiarezza che altrimenti sarebbero difficili da ottenere. Consiglio vivamente PowerDMARC a chiunque desideri rafforzare la propria sicurezza nella gestione della posta elettronica!" Anche per i team globali l'accessibilità è importante. "PowerDMARC risolve la complessità legata alla gestione di più protocolli di sicurezza della posta elettronica. Non si tratta semplicemente di passare a una politica 'p=reject'; offre infatti una soluzione completa che include anche l'hosting di DKIM e DMARC. Ciò che apprezzo di più di PowerDMARC è il suo pieno supporto della lingua giapponese, che rende la piattaforma molto più accessibile e facile da gestire rispetto ad altri strumenti." Quindi, se sei pronto a porre fine alla manomissione dei messaggi, a migliorare la deliverability e ad acquisire piena visibilità su come vengono firmate le email del tuo dominio, PowerDMARC ti offre gli strumenti e il supporto necessari per farlo nel modo giusto. No. Il DKIM non crittografa le e-mail né ne protegge il contenuto dalla lettura. Verifica semplicemente che il messaggio non sia stato modificato dopo la firma. Sì. SPF e DKIM risolvono problemi diversi. SPF autentica il server mittente, mentre DKIM autentica il messaggio stesso. L'utilizzo di entrambi garantisce una protezione maggiore e migliora la conformità a DMARC. Sì. DKIM funziona indipendentemente da DMARC, ma è proprio DMARC a garantire l'applicazione delle politiche di autenticazione e l'allineamento. L'implementazione di DKIM senza DMARC garantisce l'autenticazione, ma non indica ai server destinatari come gestire i messaggi non consegnati. La maggior parte delle organizzazioni effettua la rotazione delle chiavi DKIM ogni 6-12 mesi o immediatamente dopo un sospetto attacco. Negli ambienti ad alta sicurezza, la rotazione delle chiavi può avvenire con maggiore frequenza. Sì. Le organizzazioni pubblicano solitamente più selettori DKIM per diversi provider di posta elettronica o in occasione della rotazione delle chiavi. Ciascun selettore fa riferimento a una chiave pubblica distinta, consentendo la coesistenza sicura di più configurazioni di firma.
Guida al DKIM: cos’è, come funziona e come configurarlo
I punti chiave da prendere in considerazione
Spiegazione del DKIM
Tabella dei contenuti
Che cos'è DKIM?
Come funziona il DKIM
Spiegazione della sintassi dei record DKIM
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCA...
Spiegazione dei selettori DKIM
selector1._domainkey.example.com
Come configurare DKIM
Guide alla configurazione specifiche per i vari provider
Hai bisogno di generare un record DKIM?
Come verificare e convalidare DKIM
Una verifica approfondita del DKIM dovrebbe confermare che:
Verifica tutto con un'unica scansione
Errori comuni relativi al DKIM e come risolverli
Errore Cosa succede Guida alla riparazione Nessun record DKIM trovato Il server di destinazione non è riuscito a individuare la tua chiave pubblica nel DNS. Nessun record DKIM trovato Selettore non trovato L'e-mail fa riferimento a un selettore che non esiste nel DNS. Come trovare un selettore DKIM La firma DKIM non è valida L'e-mail è stata modificata dopo la firma oppure la firma non è valida. Correzione: la firma DKIM non è valida Errore permanente DKIM Un problema relativo al DNS o alla configurazione impedisce la verifica. Come risolvere l'errore DKIM PermError DKIM: assente L'e-mail non era firmata affatto. DKIM assente: messaggio non firmato Allineamento DKIM non riuscito Il dominio del mittente non corrisponde all'indirizzo "Da" visibile. Correzione dell'allineamento DKIM secondo la specifica RFC 5322 Allineamento DKIM e DMARC
d= (il valore nella firma DKIM) deve corrispondere al dominio indicato nell'indirizzo "Da:" visibile oppure deve essere un sottodominio approvato di tale dominio.
Modo Descrizione Rilassato (adkim=r) I sottodomini sono considerati allineati. Rigoroso (adkim=s) I domini devono corrispondere esattamente. Lunghezze delle chiavi DKIM
Lunghezza della chiave Raccomandazione RSA a 1024 bit Versione precedente. Supportata da molti fornitori, ma in via di graduale dismissione. RSA a 2048 bit Consigliato per la maggior parte delle organizzazioni. Ed25519 Sono stati supportati algoritmi più recenti che offrono una maggiore sicurezza con chiavi di dimensioni inferiori. Rotazione delle chiavi DKIM
Un tipico processo di rotazione prevede:
DKIM, SPF e DMARC
Protocollo Scopo principale SPF Verifica che il server mittente sia autorizzato a inviare e-mail per un determinato dominio. DKIM Verifica che l'e-mail non sia stata modificata dopo la firma. DMARC Allinea i campi SPF e DKIM con l'indirizzo "Da" visibile e indica ai destinatari come gestire gli errori.
DKIM ospitato
Senza una gestione centralizzata, è facile perdere di vista:
Centralizzare il DKIM per tutti i mittenti
Migliori pratiche DKIM
Rafforza l'autenticazione delle tue e-mail con DKIM
Strumenti gratuiti di PowerDMARC
Controllo dei record DKIM
Caratteristiche principali:
Generatore di record DKIM
Caratteristiche principali:
Proteggi la tua posta elettronica. Applica DKIM e DMARC in tutta sicurezza.
Domande frequenti
Il DKIM crittografa le e-mail?
Ho bisogno del DKIM se utilizzo già l'SPF?
Il DKIM può funzionare senza il DMARC?
Con quale frequenza dovrebbero essere sostituite le chiavi DKIM?
Posso avere più record DKIM?
Che cos’è il DKIM
Come funziona DKIM
Sintassi dei record DKIM
Selettori DKIM
Come configurare DKIM
Verifica e convalida di DKIM
Errori comuni relativi a DKIM
Allineamento DKIM e DMARC
Lunghezze delle chiavi DKIM
Rotazione delle chiavi DKIM
DKIM, SPF e DMARC a confronto
DKIM in hosting
Migliori pratiche DKIM
Domande frequenti
Microsoft 365
Amazon SES
SendGrid
Mailchimp
HubSpot
Salesforce
Pistola postale
Zoho
Shopify
Cloudflare
GoDaddy
cPanel
Namecheap
Brevo
Squarespace
Timbro postale
ActiveCampaign
MailerLite
Utilizzare chiavi RSA a 2048 bit
Garantisce una protezione crittografica più efficace.
Ruotare regolarmente le chiavi
Riduce il rischio di compromissione delle chiavi di firma.
Utilizzare selettori distinti per ciascun provider
Semplifica la gestione e la risoluzione dei problemi.
Rimuovere i selettori inutilizzati
Riduce la superficie di attacco superflua.
Convalida DKIM dopo le modifiche al DNS
Conferma che le firme continuano a essere verificate correttamente.
Controllare regolarmente l'autenticazione
Rileva i guasti prima che compromettano la capacità di consegna.
Verificare periodicamente l'infrastruttura di posta elettronica
Individua i provider obsoleti e i record DNS non aggiornati.
SOC 2
ISO 27001
GDPR