Guida al DKIM: cos’è, come funziona e come configurarlo
La guida completa del 2026 su come verificare le tue e-mail, impedire la manomissione e contrastare l'usurpazione di dominio.
I punti chiave da prendere in considerazione
- Il protocollo DKIM (DomainKeys Identified Mail) utilizza firme crittografiche per verificare che un'e-mail sia stata autorizzata dal proprio dominio e non sia stata alterata durante il transito.
- DKIM opera in sinergia con SPF e DMARC per creare un sistema completo di autenticazione delle e-mail che contribuisce a prevenire lo spoofing, il phishing e l'uso non autorizzato del tuo dominio.
- Una firma DKIM valida da sola non è sufficiente per garantire la conformità al DMARC. Il dominio che appone la firma deve inoltre corrispondere al dominio indicato nell'indirizzo "Da" visibile.
- La configurazione di DKIM prevede la generazione di una coppia di chiavi, la pubblicazione della chiave pubblica nel DNS, l'attivazione della firma delle e-mail e la verifica della configurazione per assicurarsi che l'autenticazione funzioni correttamente.
- La rotazione periodica delle chiavi DKIM, il monitoraggio e la convalida contribuiscono a garantire un elevato livello di sicurezza della posta elettronica e a ridurre il rischio di errori di autenticazione nel tempo.
- L'utilizzo di chiavi RSA a 2048 bit, selettori univoci per i diversi provider di posta elettronica e verifiche periodiche sono le migliori pratiche raccomandate per garantire il corretto funzionamento di un'implementazione DKIM.
Spiegazione del DKIM
Il DKIM è uno dei tre principali protocolli di autenticazione delle e-mail, insieme a SPF e DMARC. Utilizza firme crittografiche per dimostrare che un’e-mail è stata autorizzata dal proprio dominio e che il suo contenuto non è stato modificato durante il transito. Ciò aiuta i server di posta in ricezione a distinguere i messaggi legittimi da quelli contraffatti o manomessi, migliorando sia la sicurezza che la deliverability delle e-mail.
In questa guida scoprirai cos’è il DKIM, come funziona, come pubblicare e convalidare i record DKIM, come risolvere i problemi più comuni relativi all’autenticazione, come ruotare le chiavi di firma e come il DKIM interagisce con SPF e DMARC per proteggere il tuo dominio.
Configurare correttamente DKIM
Generare chiavi, pubblicare record, abilitare la firma
Risoluzione dei problemi
Correggere selettori, firme e allineamento
Allineare DKIM con DMARC
Far sì che il DKIM venga conteggiato ai fini del DMARC
Strumenti DKIM gratuiti
Controllare, generare e convalidare i record
Tabella dei contenuti
Che cos'è DKIM?
DomainKeys Identified Mail (DKIM) è un protocollo di autenticazione della posta elettronica che utilizza la crittografia a chiave pubblica per verificare che un’e-mail provenga effettivamente dal proprio dominio e non sia stata modificata dopo l’invio. Anziché basarsi esclusivamente sull’indirizzo IP del server mittente, DKIM appone una firma digitale univoca a ogni e-mail in uscita.
Quando un server di posta in ricezione riceve il tuo messaggio, recupera la tua chiave pubblica dal DNS e la utilizza per convalidare la firma. Se la firma corrisponde, il messaggio supera l'autenticazione DKIM.
Come funziona il DKIM
DKIM funziona utilizzando una coppia di chiavi crittografiche: una chiave privata e una chiave pubblica.
La chiave privata rimane al sicuro sul tuo server di posta in uscita o presso il tuo provider di servizi di posta elettronica. Ogni volta che viene inviata un'e-mail, questa chiave privata genera una firma digitale univoca basata su parti specifiche del messaggio, come il corpo del testo e alcune intestazioni selezionate. La firma viene quindi aggiunta all'e-mail sotto forma di intestazione DKIM-Signature.
Quando l'e-mail raggiunge il destinatario, il suo server di posta estrae dall'intestazione il dominio e il selettore della firma, recupera la chiave pubblica corrispondente dai tuoi record DNS e verifica la firma.
Se tutti i dati corrispondono, il controllo DKIM ha esito positivo. Se l'e-mail è stata modificata dopo la firma o se la firma non può essere verificata, l'autenticazione fallisce.
Spiegazione della sintassi dei record DKIM
Una chiave pubblica DKIM viene pubblicata come record TXT del DNS. Questo record indica ai server di posta riceventi come verificare la firma allegata alle tue e-mail.
Un record DKIM di base si presenta così:
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCA...
Spiegazione dei selettori DKIM
Un selettore DKIM identifica quale chiave pubblica debba essere utilizzata per convalidare una specifica firma e-mail.
Anziché pubblicare un'unica chiave DKIM per un intero dominio, le organizzazioni possono creare più selettori che rimandano a chiavi diverse. Ciò consente a diversi provider di posta elettronica, applicazioni o reparti di utilizzare chiavi di firma separate senza interferire tra loro.
Ad esempio, la tua piattaforma di marketing potrebbe firmare le e-mail utilizzando un selettore, mentre Microsoft 365 ne utilizza un altro. Un selettore tipico ha questo aspetto: selector1._domainkey.example.com
- selector1 è il selettore.
- _domainkey identifica lo spazio dei nomi DKIM.
- example.com è il dominio di firma.
Come configurare DKIM
La configurazione di DKIM prevede la generazione di una coppia di chiavi, la pubblicazione della chiave pubblica nel DNS e la configurazione del servizio di posta elettronica in modo che i messaggi in uscita vengano firmati utilizzando la chiave privata corrispondente.
La procedura esatta varia leggermente a seconda del provider di posta elettronica utilizzato, ma il flusso di lavoro generale rimane lo stesso.
- Generare una coppia di chiavi DKIM: la maggior parte dei provider di posta elettronica genera automaticamente una coppia di chiavi pubblica/privata quando si attiva il DKIM.
- Pubblica la chiave pubblica: aggiungi il record DKIM fornito al DNS del tuo dominio come record TXT (o, in alcune implementazioni, come record CNAME).
- Abilita la firma DKIM: attiva la firma DKIM nella tua piattaforma di posta elettronica in modo che ogni email in uscita includa un'intestazione DKIM-Signature.
- Attendere la propagazione del DNS: gli aggiornamenti del DNS vengono solitamente propagati nel giro di poche ore, anche se alcuni provider potrebbero impiegare fino a 48 ore.
- Verifica la configurazione: invia un’e-mail di prova e assicurati che la firma DKIM superi l’autenticazione prima di passare all’ambiente di produzione.
Guide alla configurazione specifiche per i vari provider
Hai bisogno di generare un record DKIM?
Il generatore gratuito di record DKIM di PowerDMARC crea una coppia di chiavi pubblica/privata in pochi secondi, aiutandoti a generare un record DKIM accurato che puoi pubblicare direttamente nel tuo DNS. Supporta le chiavi da 2048 bit raccomandate ed elimina gli errori di formattazione che spesso causano errori di autenticazione DKIM.
Inizia una prova gratuita di 15 giorniCome verificare e convalidare DKIM
Dopo aver pubblicato il record DKIM, il passo successivo consiste nel verificare che funzioni come previsto. Ciò significa controllare che il proprio servizio di posta elettronica generi correttamente le firme DKIM e che i server di posta destinatari siano in grado di convalidarle con successo.
Una verifica approfondita del DKIM dovrebbe confermare che:
- Per il dominio selezionato è presente un record DKIM.
- Il selettore funziona correttamente.
- La chiave pubblica è valida.
- Le e-mail contengono un'intestazione DKIM-Signature.
- La firma supera la verifica.
- Il DKIM corrisponde al dominio "Da" visibile ai fini del DMARC.
È inoltre possibile controllare manualmente le intestazioni dei messaggi in Gmail, Outlook o Apple Mail per verificare i risultati dell'autenticazione DKIM.
Verifica tutto con un'unica scansione
Invece di controllare manualmente ogni singolo elemento, puoi verificare la tua configurazione DKIM in un unico passaggio. Il DKIM Checker gratuito di PowerDMARC conferma che il tuo record DNS sia pubblicato correttamente, convalida il tuo selettore e la tua chiave pubblica, verifica se le tue e-mail vengono firmate ed evidenzia eventuali problemi di configurazione che potrebbero influire sull'autenticazione o sulla deliverability.
Errori comuni relativi al DKIM e come risolverli
Anche quando DKIM è configurato, possono verificarsi errori di autenticazione dovuti a configurazioni DNS errate, chiavi scadute, selettori non corretti o modifiche ai messaggi durante il transito. La maggior parte dei problemi non è causata dal protocollo DKIM in sé, poiché molti di essi derivano da scostamenti nella configurazione o da modifiche all'infrastruttura.
Ecco una breve panoramica degli errori DKIM più comuni e di come risolverli:
| Errore | Cosa succede | Guida alla riparazione |
|---|---|---|
| Nessun record DKIM trovato | Il server di destinazione non è riuscito a individuare la tua chiave pubblica nel DNS. | Nessun record DKIM trovato |
| Selettore non trovato | L'e-mail fa riferimento a un selettore che non esiste nel DNS. | Come trovare un selettore DKIM |
| La firma DKIM non è valida | L'e-mail è stata modificata dopo la firma oppure la firma non è valida. | Correzione: la firma DKIM non è valida |
| Errore permanente DKIM | Un problema relativo al DNS o alla configurazione impedisce la verifica. | Come risolvere l'errore DKIM PermError |
| DKIM: assente | L'e-mail non era firmata affatto. | DKIM assente: messaggio non firmato |
| Allineamento DKIM non riuscito | Il dominio del mittente non corrisponde all'indirizzo "Da" visibile. | Correzione dell'allineamento DKIM secondo la specifica RFC 5322 |
Se il DKIM dovesse improvvisamente smettere di funzionare dopo aver cambiato provider di posta elettronica o aggiornato il DNS, verifica di utilizzare il selettore corretto, che la tua chiave pubblica sia stata propagata correttamente e che la tua piattaforma di posta elettronica stia effettivamente firmando i messaggi in uscita.
Allineamento DKIM e DMARC
Il fatto che una firma DKIM sia valida non significa automaticamente che un’e-mail superi il controllo DMARC.
DMARC richiede l'allineamento, ovvero che il dominio utilizzato per firmare l'e-mail (il d= (il valore nella firma DKIM) deve corrispondere al dominio indicato nell'indirizzo "Da:" visibile oppure deve essere un sottodominio approvato di tale dominio.
Per esempio:
- Da: company.com
- DKIM d=: company.com — Allineato
- DKIM d=: mailservice.com — Non allineato
Anche se la firma DKIM viene convalidata correttamente, DMARC può comunque fallire se il dominio firmatario non corrisponde al dominio "Da".
DMARC supporta due modalità di allineamento:
| Modo | Descrizione |
|---|---|
| Rilassato (adkim=r) | I sottodomini sono considerati allineati. |
| Rigoroso (adkim=s) | I domini devono corrispondere esattamente. |
Molte organizzazioni si affidano a piattaforme di posta elettronica di terze parti per le newsletter, le e-mail transazionali o le campagne di marketing. Se questi servizi firmano i messaggi utilizzando il proprio dominio anziché il vostro, il controllo DKIM viene superato, ma quello DMARC fallisce a causa di un disallineamento.
La configurazione della firma DKIM personalizzata per ciascun provider contribuisce a garantire che l'autenticazione avvenga sempre con successo.
Lunghezze delle chiavi DKIM
L'efficacia del DKIM dipende in gran parte dalla chiave crittografica utilizzata per firmare le tue e-mail.
Sebbene un tempo le chiavi RSA a 1024 bit fossero lo standard, le attuali raccomandazioni in materia di sicurezza privilegiano le chiavi RSA a 2048 bit, che offrono una protezione più efficace contro gli attacchi di forza bruta e sono conformi alle migliori pratiche attualmente in uso nel settore.
| Lunghezza della chiave | Raccomandazione |
|---|---|
| RSA a 1024 bit | Versione precedente. Supportata da molti fornitori, ma in via di graduale dismissione. |
| RSA a 2048 bit | Consigliato per la maggior parte delle organizzazioni. |
| Ed25519 | Sono stati supportati algoritmi più recenti che offrono una maggiore sicurezza con chiavi di dimensioni inferiori. |
Rotazione delle chiavi DKIM
Una rotazione regolare delle chiavi riduce l'impatto della compromissione di una chiave privata e aiuta le organizzazioni a mantenere buone pratiche di sicurezza nella gestione della posta elettronica.
Un tipico processo di rotazione prevede:
- Generazione di una nuova coppia di chiavi.
- Pubblicazione della nuova chiave pubblica utilizzando un nuovo selettore.
- Configurazione del server di posta per firmare le e-mail con il nuovo selettore.
- Concedere un tempo sufficiente affinché le e-mail già firmate vengano recapitate.
- Rimozione del vecchio selettore dal DNS.
L'uso dei selettori rende questa transizione fluida, poiché le chiavi vecchie e quelle nuove possono coesistere durante il periodo di migrazione.
Le organizzazioni che gestiscono più domini o provider di posta elettronica spesso automatizzano questo processo per ridurre i costi operativi ed eliminare il rischio che le chiavi DKIM diventino obsolete o vengano dimenticate.
DKIM, SPF e DMARC
SPF, DKIM e DMARC sono protocolli complementari progettati per risolvere diversi aspetti dell'autenticazione delle e-mail.
| Protocollo | Scopo principale |
|---|---|
| SPF | Verifica che il server mittente sia autorizzato a inviare e-mail per un determinato dominio. |
| DKIM | Verifica che l'e-mail non sia stata modificata dopo la firma. |
| DMARC | Allinea i campi SPF e DKIM con l'indirizzo "Da" visibile e indica ai destinatari come gestire gli errori. |
Anziché privilegiare un protocollo rispetto a un altro, le organizzazioni dovrebbero implementarli tutti e tre. Ad esempio:
- SPF potrebbe non funzionare correttamente quando un'e-mail viene inoltrata.
- Il DKIM spesso non viene compromesso durante l'inoltro, poiché la firma rimane intatta.
- DMARC considera l'autenticazione riuscita se almeno uno dei due meccanismi (SPF o DKIM) supera il controllo e corrisponde al dominio "Da".
Insieme, garantiscono una protezione notevolmente più efficace contro gli attacchi di spoofing, phishing e usurpazione d'identità rispetto a quella che qualsiasi protocollo può offrire da solo.
DKIM ospitato
La gestione del DKIM su più provider di posta elettronica diventa sempre più complessa man mano che le organizzazioni crescono.
Le diverse piattaforme di marketing, i sistemi CRM, gli help desk e i servizi di posta elettronica transazionale richiedono spesso selettori DKIM distinti, record DNS univoci e una rotazione periodica delle chiavi.
Senza una gestione centralizzata, è facile perdere di vista:
- Selettori attivi
- Chiavi scadute
- Record DNS orfani
- Configurazioni di firma specifiche per provider
Il servizio DKIM in hosting semplifica questo processo centralizzando la gestione del DKIM, riducendo la manutenzione manuale del DNS e aiutando le organizzazioni a garantire un’autenticazione corretta su tutte le piattaforme di invio.
Centralizzare il DKIM per tutti i mittenti
Se gestisci il DKIM su più domini o provider di posta elettronica, la rotazione manuale delle chiavi può diventare rapidamente difficile da gestire. Il servizio Hosted DKIM di PowerDMARC ti consente di gestire i selettori, ruotare le chiavi di firma e aggiornare i record DKIM da una dashboard centralizzata dopo una configurazione DNS una tantum, riducendo le modifiche manuali e contribuendo al contempo a mantenere un'autenticazione coerente in tutta la tua infrastruttura di posta elettronica.
Migliori pratiche DKIM
Seguire alcune best practice operative può migliorare in modo significativo sia l'affidabilità dell'autenticazione sia la gestibilità a lungo termine.
Il monitoraggio regolare è importante tanto quanto la configurazione iniziale. I provider di posta elettronica modificano le configurazioni, i record DNS si evolvono e, col passare del tempo, vengono aggiunti nuovi servizi di invio. Le verifiche periodiche contribuiscono a garantire che DKIM continui a proteggere il tuo dominio man mano che la tua infrastruttura di posta elettronica cresce.
Rafforza l'autenticazione delle tue e-mail con DKIM
Il DKIM svolge un ruolo fondamentale nell'autenticazione moderna delle e-mail, consentendo ai server di posta in ricezione di verificare che le tue e-mail provengano effettivamente dal tuo dominio e non siano state modificate durante il transito. Pur rappresentando un livello essenziale di protezione contro lo spoofing e il phishing, il DKIM è più efficace se implementato insieme all'SPF e applicato tramite il DMARC.
Che si tratti di configurare DKIM per la prima volta, di risolvere problemi di autenticazione o di gestire più piattaforme di posta elettronica, il mantenimento di record DKIM corretti dovrebbe essere un processo continuo. La verifica periodica, la rotazione delle chiavi e il monitoraggio contribuiscono a garantire che l’autenticazione delle e-mail rimanga efficace man mano che l’infrastruttura si evolve.
Utilizza lo strumento gratuito DKIM Checker di PowerDMARC per verificare la tua configurazione, genera nuovi record DKIM con il DKIM Record Generator e semplifica la gestione continua delle chiavi con Hosted DKIM se devi proteggere più domini o servizi di posta elettronica.
Strumenti gratuiti di PowerDMARC
Prendi il controllo dell'autenticazione delle tue e-mail con gli strumenti DKIM gratuiti di PowerDMARC. Verifica immediatamente il tuo dominio, genera una nuova coppia di chiavi o esplora l'intera piattaforma. Proteggi le tue e-mail da eventuali manomissioni e acquisisci fiducia nella tua configurazione. Non è richiesta alcuna registrazione.
Controllo dei record DKIM
Verifica immediatamente il record DKIM del tuo dominio, convalida il selettore e la chiave pubblica e individua eventuali problemi di configurazione.
Caratteristiche principali:
- Verifica DNS istantanea: conferma che il tuo record DKIM sia pubblicato e venga risolto correttamente.
- Convalida del selettore e della chiave: verifica che il selettore sia risolvibile e che la chiave pubblica sia valida.
- Verifica della firma: verifica se le e-mail in uscita riportano un'intestazione DKIM-Signature valida.
- Illimitato e gratuito: esegui controlli illimitati senza bisogno di registrarti.
Generatore di record DKIM
Genera una coppia di chiavi pubblica/privata e un record DKIM valido in pochi secondi, senza doverlo configurare manualmente.
Caratteristiche principali:
- Supporto RSA a 2048 bit: genera per impostazione predefinita chiavi con livelli di sicurezza raccomandati.
- Risultato pronto per la pubblicazione: genera un record TXT DNS correttamente formattato.
- Formattazione priva di errori: elimina gli errori di sintassi che spesso causano errori DKIM.
- Adatto ai principianti: un'interfaccia semplice pensata per una configurazione rapida e senza intoppi.
Proteggi la tua posta elettronica. Applica DKIM e DMARC in tutta sicurezza.
PowerDMARC ti aiuta a passare dalla semplice visibilità alla protezione completa, senza lasciare nulla al caso. Dalla generazione e rotazione delle chiavi DKIM all’applicazione delle politiche DMARC e all’analisi di report dettagliati, la piattaforma ti offre il controllo completo sull’autenticazione delle tue e-mail. Anche se gestisci più domini e provider, PowerDMARC semplifica il monitoraggio, l’applicazione delle politiche, la generazione di report e la gestione multidominio da un’unica dashboard centralizzata.
La piattaforma è stata progettata tenendo conto della sicurezza e della conformità di livello aziendale, in conformità con gli standard SOC 2, ISO 27001 e GDPR, in modo che i tuoi dati rimangano protetti mentre la sicurezza della tua posta elettronica cresce.
I clienti si affidano a PowerDMARC non solo per la sua completezza, ma anche per la sua chiarezza.
"PowerDMARC è uno strumento estremamente potente e completo che semplifica notevolmente il lavoro quotidiano di monitoraggio delle funzionalità di autenticazione e sicurezza della posta elettronica. Offre una visibilità e una chiarezza che altrimenti sarebbero difficili da ottenere. Consiglio vivamente PowerDMARC a chiunque desideri rafforzare la propria sicurezza nella gestione della posta elettronica!"
Anche per i team globali l'accessibilità è importante.
"PowerDMARC risolve la complessità legata alla gestione di più protocolli di sicurezza della posta elettronica. Non si tratta semplicemente di passare a una politica 'p=reject'; offre infatti una soluzione completa che include anche l'hosting di DKIM e DMARC. Ciò che apprezzo di più di PowerDMARC è il suo pieno supporto della lingua giapponese, che rende la piattaforma molto più accessibile e facile da gestire rispetto ad altri strumenti."
Quindi, se sei pronto a porre fine alla manomissione dei messaggi, a migliorare la deliverability e ad acquisire piena visibilità su come vengono firmate le email del tuo dominio, PowerDMARC ti offre gli strumenti e il supporto necessari per farlo nel modo giusto.
Domande frequenti
Il DKIM crittografa le e-mail?
No. Il DKIM non crittografa le e-mail né ne protegge il contenuto dalla lettura. Verifica semplicemente che il messaggio non sia stato modificato dopo la firma.
Ho bisogno del DKIM se utilizzo già l'SPF?
Sì. SPF e DKIM risolvono problemi diversi. SPF autentica il server mittente, mentre DKIM autentica il messaggio stesso. L'utilizzo di entrambi garantisce una protezione maggiore e migliora la conformità a DMARC.
Il DKIM può funzionare senza il DMARC?
Sì. DKIM funziona indipendentemente da DMARC, ma è proprio DMARC a garantire l'applicazione delle politiche di autenticazione e l'allineamento. L'implementazione di DKIM senza DMARC garantisce l'autenticazione, ma non indica ai server destinatari come gestire i messaggi non consegnati.
Con quale frequenza dovrebbero essere sostituite le chiavi DKIM?
La maggior parte delle organizzazioni effettua la rotazione delle chiavi DKIM ogni 6-12 mesi o immediatamente dopo un sospetto attacco. Negli ambienti ad alta sicurezza, la rotazione delle chiavi può avvenire con maggiore frequenza.
Posso avere più record DKIM?
Sì. Le organizzazioni pubblicano solitamente più selettori DKIM per diversi provider di posta elettronica o in occasione della rotazione delle chiavi. Ciascun selettore fa riferimento a una chiave pubblica distinta, consentendo la coesistenza sicura di più configurazioni di firma.
