Come risolvere gli errori “Firma DKIM non valida” e “Hash del corpo del messaggio non verificato”

Se hai ricevuto l'errore "La firma DKIM non è valida", significa che c'è un problema nella tua configurazione DKIM che deve essere risolto. Questi errori sono solitamente dovuti a un record DNS DKIM inserito in modo errato, a ritardi nella propagazione del DNS, a errori durante la verifica della firma DKIM o a modifiche apportate al messaggio dopo la firma. 

Questa guida illustra in dettaglio ciascuna causa e la relativa soluzione, con una sezione dedicata all’errore strettamente correlato “DKIM-signature body hash not verified”, che indica un problema specifico e facilmente risolvibile.

Informazioni sulle firme DKIM

DKIM aggiunge una firma crittografica alle intestazioni delle tue e-mail e il server di destinazione verifica tale firma confrontandola con una chiave pubblica pubblicata nel tuo DNS. Se le due non corrispondono, viene visualizzato l’errore “La firma DKIM non è valida”. Per una spiegazione completa di come funziona il protocollo, consulta la nostra guida su cos'è DKIM.

Poiché la maggior parte delle persone che riscontrano questo errore ha già configurato DKIM e deve semplicemente risolvere il problema che si è verificato, il resto di questa pagina si concentra sulla diagnosi e sulle soluzioni piuttosto che sui concetti di base.

Quando può verificarsi un errore DKIM con il messaggio “La tua firma DKIM non è valida”?

Se il controllo di autenticazione DKIM non va a buon fine, verrà visualizzato il messaggio “La tua firma DKIM non è valida”. Ecco i motivi più comuni:

• Il dominio della firma DKIM e il dominio del mittente non corrispondono.
• Il record della chiave pubblica DKIM pubblicato nel DNS non è corretto.
• Il record della chiave pubblica DKIM non viene pubblicato affatto nel DNS.
• Il server non riesce a raggiungere la zona DNS del dominio del mittente per effettuare la ricerca, una situazione comune quando si utilizzano provider di hosting inaffidabili.
• La lunghezza della chiave DKIM è insufficiente. I provider moderni richiedono chiavi da 2048 bit; le chiavi più datate da 1024 bit sono sempre meno considerate affidabili, mentre quelle molto corte vengono rifiutate senza esitazione.
• Il messaggio è stato modificato durante l'inoltro automatico.

Tutti questi, tranne l’ultimo, sono problemi tecnici che puoi risolvere direttamente. Il caso dell’inoltro è diverso, perché non puoi controllare se il server del destinatario aggiunga un piè di pagina di conformità o riscriva in altro modo il messaggio. Quindi, cosa succede quando quei messaggi inoltrati automaticamente non superano né il controllo SPF che DKIMe la tua politica DMARC è impostata sul rifiuto?

In passato questo rappresentava un vero e proprio problema per i server di ricezione che dovevano gestire messaggi inoltrati legittimi ma non autenticati. L'attuale soluzione provvisoria è la protocollo Authenticated Received Chain (ARC), che consente a ciascun server di posta nella catena di registrare i risultati dell’autenticazione che ha rilevato, in modo che il destinatario finale possa comunque riconoscere che il messaggio è stato autenticato prima che l’inoltro lo modificasse. L’ARC è sempre stato una soluzione sperimentale, tuttavia, e il settore sta ora superandolo. Una bozza separata dell’IETF dell’aprile 2026 ha proposto di riclassificare l’ARC come standard storico, poiché i suoi insegnamenti vengono integrati nel DKIM2, una nuova versione di DKIM in fase di sviluppo presso l’IETF (draft-ietf-dkim-dkim2-spec) che risolve il problema dell’inoltro all’interno del protocollo di base, anziché aggiungere un secondo meccanismo in sovrapposizione. Anziché chiedere ai destinatari di fidarsi della descrizione fornita da un intermediario su ciò che ha osservato, DKIM2 fa sì che ogni nodo registri esattamente ciò che ha modificato sotto forma di ricetta reversibile, in modo che il verificatore possa annullare tali modifiche e ricontrollare la firma del mittente originale. Poiché tale standard è ancora in fase di definizione, oggi l’ARC rimane la soluzione pratica, ma è bene sapere che per il problema dell’inoltro è in arrivo una soluzione definitiva.

Come risolvere l'errore "La firma DKIM non è valida"

Anche se i record DKIM sono stati configurati correttamente, è comunque possibile che venga visualizzato un errore di firma non valida. Di seguito sono riportate le soluzioni, abbinate a ciascuna delle cause elencate sopra.

Soluzione 1: Risoluzione dei problemi relativi alle voci DNS DKIM errate

Una volta creato il record TXT DKIM e aggiunto alla configurazione DNS, un errore di firma non valida è spesso riconducibile a un errore proprio in quel record. Per individuarlo:

• Utilizza la funzione di funzione di ricerca DKIM di PowerDMARC per verificare il tuo record.

• Inserisci il nome del dominio e il selettore, oppure lascia il selettore vuoto per consentire alla piattaforma di rilevarlo automaticamente, quindi fai clic su "Verifica".

• Lo strumento analizza la tua voce DNS DKIM ed evidenzia eventuali errori nella sintassi del record.

Per correggere il record, accedi a cPanel o alla console di gestione DNS che utilizzi, apri l’Editor avanzato delle zone DNS nella sezione Domini, seleziona il tuo dominio, vai su Modifica record DNS, correggi il valore del record DKIM e salva.

Soluzione 2: Attendere che i ritardi di propagazione del DNS si risolvano

Potresti anche riscontrare degli errori subito dopo aver modificato le impostazioni DNS. È normale: la propagazione del DNS richiede dalle 24 alle 48 ore e il tempo esatto dipende dal valore TTL impostato nel record. Attendi qualche giorno affinché la propagazione sia completa e, nel frattempo, monitora lo stato con il nostro strumento di verifica della propagazione DNS.

Soluzione 3: riallineare il dominio della firma DKIM con il proprio dominio di invio

Apri l'intestazione DKIM-Signature di un messaggio non valido e controlla il valore di valore d= confrontandolo con l’indirizzo "Da" visibile. Se non corrispondono, il servizio di invio sta firmando con il proprio dominio anziché con il tuo, il che compromette l’allineamento e fa fallire il controllo. La soluzione consiste nel configurare quel servizio affinché firmi con il tuo dominio. La maggior parte delle piattaforme di posta elettronica dispone di un’impostazione "DKIM personalizzato" o "autenticazione del dominio" proprio a questo scopo, e la nostra guida su come configurare DKIM spiega la procedura.

Soluzione 4: Rigenerare una chiave troppo corta

Se il tuo provider utilizza ancora una chiave da 1024 bit (o inferiore), rigenerala a 2048 bit, che è lo standard attuale richiesto da Google e dagli altri principali provider. Puoi generare una nuova coppia di chiavi nella console di amministrazione del tuo ESP oppure con il nostro generatore DKIM, pubblica la nuova chiave pubblica nel tuo DNS e verifica che venga risolta correttamente utilizzando il nostro strumento di ricerca dei record DKIM.

Soluzione 5: risolvere il problema di un server DNS non raggiungibile

Se il server destinatario non riesce a raggiungere il tuo DNS per recuperare la chiave pubblica, DKIM non funzionerà, indipendentemente da quanto sia corretta la configurazione di tutti gli altri elementi. Verifica se il tuo record è raggiungibile utilizzando uno strumento di controllo della propagazione DNS. Se il DNS del tuo provider di hosting è lento o inaffidabile, valuta la possibilità di trasferire l'hosting DNS a un provider dedicato come Cloudflare o Amazon Route 53.

Soluzione 6: Gestione dei messaggi modificati durante l'inoltro automatico

Le modifiche apportate durante l'inoltro compromettono il DKIM e non sempre è possibile risolvere il problema dal lato del mittente. Se si ha il controllo del server di inoltro, abilitare la firma ARC (e, in Microsoft 365, aggiungere i server di inoltro affidabili all'elenco "Trusted ARC Sealers" in Defender) in modo che la posta inoltrata legittima non venga scartata. Se non si ha il controllo del server, si tratta di un comportamento previsto, non di un errore di configurazione: i vostri rapporti aggregati DMARC mostreranno questi errori, e la mossa giusta è tenerne conto nella propria politica e continuare a monitorare, piuttosto che rincorrere tutti.

Note: ARC is a temporary fix and not a permanent solution. DKIM2 is being designed to fix forwarding at the protocol level, so this whole category of failure should shrink as it rolls out. Keep any existing ARC setup running to support legacy gateways in the meantime, but there's little reason to invest heavily in new ARC engineering now.

Perché si vede "DKIM-Signature Body Hash Not Verified"?

L'errore “DKIM-signature body hash not verified” indica che l'hash del corpo del messaggio calcolato dal server ricevente non corrisponde al valore memorizzato nel tag `bh=` dell'intestazione `DKIM-Signature`. In parole povere, il corpo dell'e-mail controllato dal destinatario non è identico al corpo del messaggio firmato dal tuo server. Qualcosa ha alterato il messaggio durante il trasferimento.

È importante comprenderlo con precisione, perché si tratta di un problema fin troppo comune e di solito indica che la configurazione DKIM è per il resto corretta. La verifica dell’hash del corpo del messaggio avviene prima della verifica completa della firma, quindi quando l’hash del corpo non supera la verifica, l’intera valutazione DKIM fallisce e il destinatario non procederà nemmeno alla verifica della firma crittografica stessa.

Cause comuni dei guasti all'hash del corpo

• Un gateway o un filtro di posta elettronica ha aggiunto contenuti dopo la firma DKIM: Dichiarazioni di non responsabilità, note legali, pixel di tracciamento, blocchi per la disiscrizione, banner antivirus e note di marketing inseriti da un gateway in uscita dopo che il messaggio era già stato firmato modificheranno il corpo del messaggio e comprometteranno l'hash. Questa è la causa più frequente in assoluto.
• Una mailing list o un server di inoltro ha modificato il corpo del messaggio: Il software delle mailing list aggiunge sistematicamente piè di pagina relativi alla disiscrizione o riscrive l'oggetto, mentre i server di inoltro possono rimuovere o aggiungere intestazioni. Entrambi alterano il contenuto firmato.
• Una discrepanza nella codifica dei caratteri o nella terminazione di riga: Se il messaggio è firmato utilizzando una codifica (ad esempio, UTF-8 con un byte-order mark) e il server ricevente lo interpreta in modo diverso, oppure se i terminatori di riga passano da CRLF a LF o viceversa durante il trasferimento, il contenuto a livello di byte non corrisponde più e il calcolo dell'hash fallisce.
• La firma DKIM avviene troppo presto nel flusso di posta in uscita: Questa è la causa principale della maggior parte dei problemi sopra citati. Se il sistema firma il messaggio prima che un componente a valle lo modifichi, l'hash del corpo del messaggio risulterà errato ogni volta.
• Una chiave privata errata o ruotata: Se la chiave di firma non corrisponde più alla chiave pubblica pubblicata nel DNS, la verifica fallisce.

Come diagnosticare un guasto all'hash del body

Segui questi passaggi per individuare con maggiore precisione dove si verifica la modifica:

1. Invia lo stesso messaggio di prova a Gmail, Outlook o Hotmail e a una casella di posta interna. Assicurati che il contenuto, i link e il percorso siano identici in tutti e tre i casi.
2. Controlla l'intestazione "Authentication-Results" su ciascun destinatario. Se l'hash del corpo del messaggio risulta non valido su tutti e tre, il problema è dal lato del mittente. Se risulta non valido solo su uno (Outlook è solitamente il responsabile), è più probabile che il problema sia legato alla struttura MIME o alla codifica dei caratteri piuttosto che alla configurazione della firma.
3. Verifica la sequenza di elaborazione della posta e verifica se la firma DKIM avviene prima o dopo eventuali modifiche ai contenuti in uscita.
4. Verifica il record DNS DKIM, assicurandoti che il selettore e la chiave pubblica corrispondano a quelli presenti nella firma non valida, utilizzando il nostro strumento di ricerca dei record DKIM.
5. Invia un messaggio di prova in testo semplice, senza tracciamento, piè di pagina o allegati. Se quel messaggio riesce a passare laddove la tua posta normale viene bloccata, avrai individuato la modifica per esclusione.

Come risolvere gli errori relativi all'hash del corpo

• Firma il messaggio per ultimo, dopo ogni modifica al contenuto: Questa è la soluzione più comune e più efficace. Modifica l'ordine da "scrivi, firma DKIM, aggiungi la dichiarazione di non responsabilità, invia" a "scrivi, aggiungi la dichiarazione di non responsabilità, firma DKIM, invia", in modo da firmare esattamente il messaggio che il destinatario riceverà.
• Configurare i gateway in uscita in modo che non modifichino il corpo del messaggio: oppure impostarli in modo che effettuino una nuova firma DKIM dopo aver completato le modifiche.
• Standardizza la codifica in UTF-8 senza byte-order mark e mantieni costanti le terminazioni di riga CRLF lungo tutto il percorso di invio. Ciò è particolarmente importante per gli ambienti Exchange e Microsoft 365.
• Utilizza la canonicalizzazione "relaxed" (c=relaxed/relaxed): Questa opzione tollera piccole differenze relative agli spazi bianchi e alla formattazione che altrimenti comprometterebbero la validità di una firma in caso di canonicalizzazione "semplice" rigorosa. Non è in grado di salvare una firma quando viene aggiunto un intero disclaimer o piè di pagina, ma elimina gli errori causati da modifiche di formattazione insignificanti.

Errori relativi all'hash del corpo del messaggio specifici per Outlook e Microsoft 365

Un problema ricorrente, che affolla i forum di supporto di Microsoft, è quello di messaggi che superano il controllo DKIM su Gmail e Yahoo ma non su Outlook o Hotmail. Questo fenomeno si verifica solitamente con messaggi che contengono allegati o immagini incorporate e indica che il problema risiede nel modo in cui il sistema di Microsoft gestisce la struttura MIME e la codifica dei caratteri, piuttosto che in un’impostazione errata della firma.

Il modo più chiaro per verificarlo è confrontare l'intestazione "Authentication-Results" dello stesso messaggio su entrambi i destinatari. I casi di esito positivo e negativo si presentano così:

Nessuno

# Su Gmail (pass)

Authentication-Results: mx.google.com;
dkim=pass [email protected] header.s=selector1;
spf=pass; dmarc=pass

# In Outlook (non funziona con lo stesso messaggio)

Authentication-Results: protection.outlook.com;
dkim=fail (body hash did not verify)
header.d=yourdomain.com header.s=selector1;
spf=pass; dmarc=fail (p=none)

Quando si riscontra un errore DKIM, il modo più rapido per comprenderne la causa è leggere le intestazioni di autenticazione del messaggio stesso, piuttosto che cercare di indovinarla.

Come interpretare l'intestazione "Authentication-Results"

In Gmail, apri il messaggio, fai clic sul menu con i tre puntini e seleziona “Mostra originale». Individua l'intestazione Authentication-Results e cerca il risultato dkim=. Il valore sarà pass, fail o neutral ed è solitamente seguito da una stringa che ne spiega il motivo, ad esempio «body hash non verificato», «firma non verificata» o «chiave troppo corta». Tale stringa ti indica la categoria del problema che stai affrontando e, di conseguenza, quale delle soluzioni sopra indicate è applicabile.

Mentre leggi l'intestazione, i tag DKIM-Signature costituiscono utili punti di riferimento:

v= Versione DKIM (ad es., v=1)

aalgoritmo di firma (ad es., a=rsa-sha256)

d= dominio di firma (verificare la corrispondenza con l'indirizzo del mittente)

s= selettore, utilizzato per individuare la chiave pubblica nel DNS

h= le intestazioni incluse nella firma

bh= l'hash del corpo (il valore che genera l'errore "hash del corpo non verificato")

b= la firma crittografica stessa

Il confronto del valore d= con il dominio "Da" visibile conferma la corrispondenza; il selettore s= indica quale record DNS controllare, mentre una discrepanza nel valore bh= conferma che il corpo del messaggio è stato modificato dopo la firma.

Se la fonte risulta essere una che non riconosci, verifica se fa parte dei tuoi mittenti autorizzati, confrontala con i tuoi rapporti di errore DMARC per capire che tipo di posta sta inviando e verifica se l'IP compare in qualche lista nera. 

Se si tratta di un mittente legittimo, configura DMARC correttamente per autorizzarlo. Se non lo è, si tratta di un segnale di spoofing su cui vale la pena intervenire.

Ho risolto l'errore "Firma DKIM non valida". E adesso?

Per potenziare la tua configurazione DKIM da qui:

1. Iscriviti al nostro DKIM in hosting per monitorare i risultati dell'autenticazione DKIM nel tempo.
2. Abilita SPF e DMARC per una maggiore sicurezza e un'autenticazione più accurata.
3. Aggiorna periodicamente le tue chiavi DKIM per garantire una protezione più efficace.

Non riesco ancora a risolvere l'errore

Se l'errore relativo alla firma DKIM non valida persiste, contatta il tuo provider di servizi di posta elettronica per ricevere assistenza, oppure contattaci per ricevere una consulenza specialistica su tutto ciò che riguarda l'autenticazione delle e-mail.

Domande frequenti

Cosa significa “Hash del corpo della firma DKIM non verificato”? 

Significa che l'hash del corpo del messaggio calcolato dal server ricevente non corrisponde al valore "bh=" registrato dal tuo server al momento della firma del messaggio. In pratica, il corpo dell'e-mail è stato modificato dopo la firma, il più delle volte con l'aggiunta di una clausola di esclusione di responsabilità, un piè di pagina, un pixel di tracciamento o una modifica apportata dal gateway in una fase successiva del percorso di invio.

Perché l'hash del corpo del messaggio DKIM risulta non valido solo in Outlook, mentre in Gmail risulta valido? 

Quando un messaggio viene recapitato correttamente su Gmail ma non su Outlook o Hotmail, la causa è solitamente da ricercarsi nel modo in cui il sistema Microsoft gestisce la struttura MIME e la codifica dei caratteri, piuttosto che nella configurazione della firma. Questo problema si verifica più spesso nei messaggi con allegati o immagini incorporate. Confronta il codice sorgente grezzo su entrambi i destinatari, standardizza la codifica di trasferimento e utilizza una canonicalizzazione meno rigida.

Come posso fare in modo che la firma DKIM venga applicata dopo l'aggiunta delle dichiarazioni di non responsabilità? 

Riorganizza il flusso della posta in uscita in modo che la firma sia l'ultima operazione che modifica il contenuto. Anziché firmare e poi aggiungere una dichiarazione di non responsabilità, aggiungi prima la dichiarazione di non responsabilità e poi apponi la firma. Puoi ottenere questo risultato eseguendo il tuo programma di firma DKIM dopo i filtri di contenuto e i servizi di dichiarazione di non responsabilità o di firma, in modo che firmi il messaggio finale che il destinatario riceve effettivamente.

Qual è la differenza tra “il body hash non è stato verificato” e “la firma non è stata verificata”? 

Il messaggio “Body hash non verificato” indica che il corpo del messaggio è stato modificato dopo la firma; in questo caso, la soluzione consiste nel correggere il corpo del messaggio o il flusso di posta. Il messaggio “Firma non verificata” ha un significato più ampio e spesso indica una modifica dell’intestazione firmata, una mancata corrispondenza delle chiavi o un problema relativo al DNS o alle chiavi. La stringa di motivazione contenuta nell’intestazione Authentication-Results indica quale dei casi si sta verificando.

DKIM filtra le e-mail? 

DKIM non filtra direttamente le e-mail. Fornisce un segnale di "superamento" o "fallimento" che i server di ricezione prendono in considerazione nelle proprie decisioni relative al punteggio antispam. Le e-mail provenienti da un dominio attendibile che superano il controllo DKIM potrebbero ricevere un punteggio antispam più basso, mentre un fallimento del controllo DKIM può contribuire a far sì che un messaggio venga contrassegnato come spam o messo in quarantena.

Posso ignorare gli errori DKIM se DMARC è impostato su p=none? 

Con p=none, i messaggi non validi vengono comunque consegnati, quindi un errore DKIM non blocca immediatamente nulla. Tuttavia, ignorarlo vanifica lo scopo di passare a una politica più rigorosa e impedisce di fidarsi dei propri dati di autenticazione. È preferibile risolvere gli errori mentre si è ancora in modalità p=none, in modo da poter passare in sicurezza a p=quarantine e p=reject in un secondo momento.

Con quale frequenza dovrei aggiornare le chiavi DKIM? 

Una pratica comune consiste nel sostituire le chiavi ogni sei mesi o un anno. La sostituzione periodica limita i danni nel caso in cui una chiave privata venisse compromessa. È fondamentale aggiornare la chiave pubblica pubblicata nel DNS nell’ambito di tale sostituzione, poiché una chiave sostituita che non viene aggiornata nel DNS causerà a sua volta errori di firma.

• Informazioni su
• Ultimi messaggi

Yunes Tarada

Esperto di sicurezza dei domini e della posta elettronica presso PowerDMARC

Yunes è un Operations Team Lead di PowerDMARC, esperto di autenticazione e sicurezza delle e-mail. Yunes è un Azure Administrator Associate certificato da Microsoft con certificazioni in CompTIA A+ e molte altre.

Ultimi messaggi di Yunes Tarada (vedi tutti)

• Appiattimento SPF: che cos’è e a cosa serve? - 28 luglio 2026
• Guida alla configurazione di DMARC per Office 365 (2026) - 21 luglio 2026
• Come risolvere gli errori “Firma DKIM non valida” e “Hash del corpo del messaggio non verificato” - 16 luglio 2026