# O que é DKIM e como ele protege o seu e-mail

DKIM é a assinatura digital que prova que um e-mail saiu do seu domínio e não foi alterado no caminho. Entenda como funciona e como publicar a chave no DNS.

**DKIM** (DomainKeys Identified Mail) é uma assinatura digital que o servidor de e-mail coloca em cada mensagem enviada pelo seu domínio. Quem recebe confere essa assinatura com uma chave publicada no seu DNS. Se bater, fica provado que a mensagem saiu de um servidor autorizado e que ninguém mexeu no conteúdo no caminho.

É o mais robusto dos três registros de autenticação: diferente do [SPF](https://zilimail.com.br/glossario/spf), a assinatura continua válida quando a mensagem é encaminhada por outra pessoa.

## Como funciona

O serviço de e-mail guarda uma **chave privada**, que só ele conhece, e usa essa chave para assinar o cabeçalho e o corpo de cada mensagem. A **chave pública** correspondente fica no seu DNS, num registro TXT com um nome no formato `seletor._domainkey`:

```
mail._domainkey.suaempresa.com.br   TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."
```

- O **seletor** (`mail`, no exemplo) permite ter várias chaves ao mesmo tempo, uma por serviço que envia em seu nome.
- `k=rsa` é o tipo de chave, e `p=` é a chave pública em si. Prefira chaves de 2048 bits.

Você não precisa gerar nada: o serviço de e-mail cria o par de chaves e mostra o valor exato para colar no DNS.

## Os erros mais comuns

- **Valor cortado ao colar.** A chave é longa, e alguns painéis quebram ou cortam o texto. Cole o valor inteiro, sem espaços ou aspas a mais, e confira depois no terminal.
- **Nome com o domínio repetido.** Se o painel completa o domínio sozinho, escreva só `mail._domainkey`, sem o `.suaempresa.com.br`.
- **Um serviço sem DKIM.** Cada ferramenta que envia como @suaempresa.com.br precisa da própria chave publicada. Sem ela, as mensagens dessa ferramenta falham no [DMARC](https://zilimail.com.br/glossario/dmarc).

## Como conferir

```
dig +short TXT mail._domainkey.suaempresa.com.br
```

Troque `mail` pelo seletor que o seu serviço usa. A resposta deve começar com `v=DKIM1`. Numa mensagem recebida no Gmail, **Mostrar original** mostra `DKIM: PASS` com o seu domínio.

O [guia de e-mail com domínio próprio](https://zilimail.com.br/guias/email-com-dominio-proprio) mostra onde o DKIM entra junto com o [registro MX](https://zilimail.com.br/glossario/registro-mx) e os demais.

Fonte: https://zilimail.com.br/glossario/dkim