DKIM

DKIM (DomainKeys Identified Mail) é um padrão de autenticação de email definido na RFC 6376. O sistema de email remetente assina cada mensagem de saída com uma chave criptográfica privada; um header chamado DKIM-Signature carrega a assinatura, o algoritmo e um ponteiro para a chave pública. O servidor receptor busca a chave pública no DNS e verifica que a assinatura confere com o corpo da mensagem e os headers listados — provando tanto que a mensagem partiu de um servidor que detém a chave privada quanto que as partes assinadas da mensagem não foram alteradas em trânsito.

A chave pública vive em {selector}._domainkey.{domain} como um registro TXT. Selectors são identificadores arbitrários — tipicamente s1, s2, mail ou nomes específicos de vendor como amazonses. Selectors permitem rotação de chaves: publique uma nova chave em um selector fresco, mude o signer para o novo selector, deixe a chave antiga no DNS até que mensagens assinadas em trânsito sejam drenadas, então delete o registro TXT antigo. Rotação é prática básica de higiene — a maioria dos ESPs rotaciona pelo menos anualmente e em qualquer suspeita de comprometimento.

Para envio via vendor (Amazon SES, Mailgun, SendGrid, SparkPost — todos drivers integrados em app/SendingServers/Drivers/Vendors/), DKIM é assinado pelo vendor. O trabalho do operador é publicar os registros CNAME ou TXT fornecidos pelo vendor no seu domínio de envio. Para o driver SMTP genérico, a assinatura DKIM é feita pelo MTA upstream (milter opendkim do Postfix, signer integrado do Postal, etc.) — o AcelleMail não assina DKIM por conta própria.

O walkthrough completo de setup — como ficam os registros para os principais vendors e como verificar a assinatura — está no guia pillar de entregabilidade.

SPF autentica o endereço IP; DKIM autentica a própria mensagem. Um email encaminhado que quebra SPF (porque agora vem dos IPs do encaminhador) tipicamente ainda passa em DKIM (a assinatura cobre o corpo, não o caminho). DMARC então alinha um ou ambos os sinais contra o header From: visível. As três camadas se compõem — entregabilidade moderna assume que você publica todas as três.