DKIM

DKIM (DomainKeys Identified Mail) è uno standard di autenticazione email definito nella RFC 6376. Il sistema di posta mittente firma ogni messaggio in uscita con una chiave crittografica privata; un header denominato DKIM-Signature trasporta la firma, l'algoritmo e un puntatore alla chiave pubblica. Il server ricevente recupera la chiave pubblica dal DNS e verifica che la firma corrisponda al corpo del messaggio e agli header elencati — dimostrando sia che il messaggio è partito da un server in possesso della chiave privata, sia che le porzioni firmate non sono state alterate in transito.

La chiave pubblica risiede in {selector}._domainkey.{domain} come record TXT. I selettori sono identificatori arbitrari — tipicamente s1, s2, mail oppure nomi vendor-specifici come amazonses. I selettori abilitano la rotazione delle chiavi: pubblicare una nuova chiave sotto un selettore fresco, far passare il signer al nuovo selettore, lasciare la vecchia chiave nel DNS finché i messaggi firmati in volo non sono drenati, quindi cancellare il vecchio record TXT. La rotazione è una pratica di igiene di base — la maggior parte degli ESP la esegue almeno annualmente e a ogni sospetto di compromissione.

Per gli invii vendor-backed (Amazon SES, Mailgun, SendGrid, SparkPost — tutti driver integrati sotto app/SendingServers/Drivers/Vendors/), DKIM viene firmato dal vendor. Il compito dell'operatore consiste nel pubblicare i record CNAME o TXT forniti dal vendor sul proprio dominio di invio. Per il driver SMTP generico, la firma DKIM è a carico dell'MTA upstream (il milter opendkim di Postfix, il signer integrato di Postal, ecc.) — AcelleMail non firma DKIM in proprio.

Il walkthrough completo di setup — l'aspetto dei record per i principali vendor e come verificare la firma — è nella guida pillar sulla deliverability.

SPF autentica l'indirizzo IP; DKIM autentica il messaggio stesso. Un'email inoltrata che rompe SPF (perché ora proviene dagli IP del forwarder) tipicamente passa comunque DKIM (la firma copre il corpo, non il percorso). DMARC poi allinea uno o entrambi i segnali a fronte dell'header From: visibile. I tre livelli si compongono — la deliverability moderna presuppone che Lei pubblichi tutti e tre.