DKIM (DomainKeys Identified Mail) é uma assinatura digital que o servidor de envio coloca em cada e-mail. O servidor de destino confere essa assinatura com uma chave pública publicada no DNS do seu domínio. Se a conta fecha, ele sabe que a mensagem foi assinada pelo domínio e chegou sem alteração.
Pontos-chave
- A assinatura prova quem assinou a mensagem e que o conteúdo não mudou no caminho.
- A configuração tem duas partes: a chave privada no servidor de envio e a chave pública em um registro no DNS.
- Sozinho, o DKIM não impede que alguém use o seu domínio no remetente. Ele trabalha junto com SPF e DMARC.
- Cada sistema que envia em nome do domínio precisa da própria assinatura, inclusive ERP e plataforma de boletos.
Neste artigo
- O que é DKIM
- Como funciona a assinatura DKIM
- Como é um registro DKIM no DNS
- DKIM, SPF e DMARC: o papel de cada um
- Como ativar o DKIM no seu domínio
- Como saber se o DKIM está funcionando
- Por que o DKIM falha
- Perguntas frequentes
O que é DKIM
O padrão nasceu em 2007, da fusão de dois projetos: o DomainKeys, do Yahoo, e o Identified Internet Mail, da Cisco. A versão em vigor está na RFC 6376, de 2011.
A lógica é simples: quem envia assina, quem recebe confere. A assinatura usa criptografia de chave pública. Só o seu servidor guarda a chave privada, que assina. A chave pública, que confere, fica aberta no DNS para qualquer servidor do mundo consultar.
Na prática, a assinatura responde a duas perguntas do servidor de destino:
- Quem assinou? O domínio que aparece na assinatura, no campo d=.
- A mensagem mudou no caminho? Se o assunto, o remetente ou o corpo forem alterados depois do envio, o cálculo não bate e a assinatura falha.
Como funciona a assinatura DKIM
Quando um e-mail sai do servidor da sua empresa, a assinatura passa por quatro etapas:
- Resumo. O servidor calcula um resumo criptográfico (hash) do corpo e de cabeçalhos escolhidos, como From, Subject e Date.
- Assinatura. Esse resumo é cifrado com a chave privada do domínio.
- Cabeçalho. O resultado vai para um cabeçalho chamado DKIM-Signature, junto com o domínio e o seletor da chave.
- Conferência. O destino lê o seletor, busca a chave pública no DNS, refaz o cálculo e compara.
O cabeçalho da assinatura é parecido com este:
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
d=suaempresa.com.br; s=meile2026;
h=from:to:subject:date:message-id;
bh=2jUSOH9NhtVGCQWNr9BrIAPreKQjO6Sn7XIkfJVOzv8=;
b=Kx9LzQ3...- d= é o domínio que assina.
- s= é o seletor, o nome da chave.
- h= lista os cabeçalhos protegidos.
- bh= é o resumo do corpo.
- b= é a assinatura em si.
Como é um registro DKIM no DNS
A chave pública fica em um registro TXT publicado em um endereço com este formato:
seletor._domainkey.suaempresa.com.brO conteúdo do registro DKIM costuma ser assim:
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...- v=DKIM1 identifica o tipo de registro.
- k=rsa indica o algoritmo da chave.
- p= traz a chave pública. Se estiver vazio, a chave foi revogada.
O seletor permite que um domínio tenha várias chaves ao mesmo tempo. A empresa pode ter uma para o e-mail da equipe, outra para o sistema de boletos e outra para a ferramenta de marketing, cada uma com o seu nome.
Use chave RSA de 2048 bits. A RFC 8301 exige no mínimo 1024 bits e recomenda 2048. Como a chave maior passa de 255 caracteres, alguns painéis de DNS pedem que o valor seja dividido em mais de um trecho dentro do mesmo registro.
DKIM, SPF e DMARC: o papel de cada um
Os três registros trabalham juntos, e cada um cobre uma parte do problema:
| Registro | O que verifica | Limitação |
|---|---|---|
| SPF | Se o servidor que enviou está autorizado pelo domínio | Costuma falhar quando o e-mail é encaminhado |
| DKIM | Se a mensagem foi assinada pelo domínio e chegou intacta | Não diz ao destino o que fazer quando falha |
| DMARC | Se SPF ou DKIM passam com o mesmo domínio do remetente visível | Depende de SPF e DKIM para funcionar |
O ponto que mais confunde: um golpista pode assinar a mensagem com o DKIM do domínio dele e colocar o endereço da sua empresa no campo De. A assinatura passa, mas o domínio não bate. É o DMARC que cobra esse alinhamento e manda o destino recusar ou separar a mensagem.
A página de segurança de e-mail da Meile mostra como essas camadas se somam ao antispam e à criptografia. E o estudo da Meile sobre DMARC em 179 domínios do Judiciário e de conselhos profissionais mostra quantas instituições ainda deixam a falsificação passar.
Desde 2024, Google e Yahoo exigem SPF, DKIM e DMARC de quem envia em grande volume. Em 2025, a Microsoft passou a cobrar o mesmo para entregar no Outlook.com.
Como ativar o DKIM no seu domínio
O caminho é o mesmo em qualquer provedor. Muda só o painel:
- Gere a chave no serviço que envia. O provedor de e-mail, o servidor SMTP ou a ferramenta de marketing cria o par de chaves e mostra o registro a publicar.
- Publique o registro no DNS. No painel do domínio, crie o TXT ou o CNAME indicado, com o nome exato do seletor.
- Ative a assinatura. Volte ao serviço de envio e ligue o DKIM. Alguns fazem isso sozinhos quando encontram o registro.
- Teste. Envie uma mensagem para uma conta externa e confira o resultado no cabeçalho.
- Repita para cada serviço. Cada ferramenta que envia em nome do domínio precisa da própria assinatura.
Nos provedores mais comuns:
- Google Workspace: no Admin Console, em Apps, Google Workspace, Gmail e Autenticar e-mail. O seletor padrão é "google".
- Microsoft 365: no portal do Microsoft Defender, nas configurações de autenticação de e-mail, com dois registros CNAME (selector1 e selector2).
- ERPs e sistemas próprios: a chave fica no servidor SMTP que faz o disparo. Num SMTP gerenciado, como o Meile SMTP, o DKIM já vem configurado.
O item 5 é o que mais escapa. A empresa ativa o DKIM no e-mail da equipe e esquece o sistema que manda boletos e notas fiscais, que continua saindo sem assinatura. O artigo sobre o que é SMTP explica por que esse tipo de envio costuma cair no spam.
Como saber se o DKIM está funcionando
Há duas formas rápidas de conferir:
- Pelo cabeçalho. No Gmail, abra a mensagem, clique nos três pontos e em "Mostrar original". A linha DKIM deve mostrar PASS com o seu domínio. Em outros programas, procure dkim=pass no cabeçalho Authentication-Results.
- Pelo DNS. O verificador gratuito de SPF, DKIM e DMARC da Meile consulta os registros do domínio. Para checar o DKIM, informe o seletor, que aparece no campo s= da assinatura.
Por que o DKIM falha
As causas mais comuns de falha são cinco:
- Erro de cópia no registro. Espaço, aspas ou quebra de linha a mais na chave pública invalidam o registro.
- Seletor errado. O nome publicado no DNS é diferente do que o servidor coloca no campo s=.
- Mensagem alterada no caminho. Rodapé inserido por um gateway, antivírus ou lista de discussão muda o corpo e quebra a assinatura.
- Serviço sem assinatura. O e-mail sai de um sistema que nunca recebeu chave própria.
- Chave trocada sem atualizar o DNS. O servidor passou a assinar com uma chave nova e o registro antigo continuou publicado.
Sobre a troca de chaves: o M3AAWG, grupo que reúne grandes provedores de e-mail, recomenda trocar as chaves DKIM pelo menos duas vezes por ano. Com dois seletores publicados, a troca acontece sem deixar nenhuma mensagem sem assinatura.
Vale lembrar também que mensagens encaminhadas costumam perder o SPF, mas mantêm o DKIM se o corpo não mudar. Por isso, em muitos casos, é a assinatura que garante a aprovação no DMARC.
No Meile Mail, SPF, DKIM e DMARC são configurados automaticamente para todos os clientes, com relatório mensal de autenticação incluído no serviço. Conheça o e-mail corporativo seguro da Meile.
Se boletos, notas fiscais e avisos saem de um ERP ou sistema próprio, o Meile SMTP já envia com a assinatura configurada. Fale com a nossa equipe para revisar a autenticação do seu domínio.
