DKIM: come configurarlo su Aruba, Google e Microsoft 365

La risposta breve: per configurare DKIM si pubblica nel DNS del dominio la chiave pubblica del servizio che spedisce la posta, poi si attiva la firma su quel servizio. Con la posta Aruba il selettore è a1: ai domini nuovi la firma allineata la prepara Aruba, per quelli acquistati prima di febbraio 2024 si aggiunge un record TXT su a1._domainkey. Google Workspace usa di norma un TXT su google._domainkey, Microsoft 365 due CNAME.

Cos'è DKIM, in breve

DKIM (DomainKeys Identified Mail) è definito dalla RFC 6376, standard Internet dell'IETF. Il server che spedisce firma ogni messaggio con una chiave privata nell'intestazione DKIM-Signature; chi riceve legge il dominio (tag d=) e il selettore (tag s=) e recupera la chiave pubblica nel DNS, al nome selettore._domainkey.dominio.

Una firma valida dice che il dominio in d= si assume la responsabilità del messaggio e che le parti firmate non sono cambiate dopo la firma. Nient'altro, precisa la RFC nella sezione 1.5. E il dominio che firma non deve per forza coincidere con quello del mittente visibile (sezione 1.2): a legarli è DMARC, con l'allineamento spiegato in DMARC: cos'è e come funziona. SPF, che elenca i server autorizzati a spedire, è un record a parte.

Prima di aprire il pannello DNS: tre domande

1. Chi spedisce con il tuo dominio? La casella aziendale, ma anche CRM, newsletter, fatturazione. Ognuno firma con le sue chiavi e ha il suo record: per questo la RFC 6376 prevede i selettori (sezione 3.1).
2. Dove sta il DNS? Il record va dove sono gestiti i name server. Un dominio su Aruba con la posta su Microsoft 365 si configura in due posti: la chiave in Microsoft, i record nel pannello DNS di Aruba.
3. Che lunghezza di chiave? La RFC 8301 del 2018 aggiorna la 6376: chi firma deve usare chiavi RSA di almeno 1024 bit e dovrebbe usarne di almeno 2048, e rsa-sha1 non va più usato. Le linee guida di Google per i mittenti chiedono almeno 1024 bit per spedire ad account Gmail personali e consigliano 2048 dove il provider del dominio li supporta.

DKIM su Aruba

Se usi la posta di Aruba

La guida ufficiale Come usare il protocollo DKIM spiega che il server di posta Aruba è predisposto per apporre una firma allineata al dominio, con un selettore e una chiave privata standard, e che sono supportate anche chiavi a 2048 bit. La guida distingue due casi:

• Domini di nuova creazione: la firma allineata viene generata da Aruba.
• Domini acquistati prima di febbraio 2024: puoi personalizzare la firma standard pubblicando un record TXT con nome host a1._domainkey.nomedominio.estensione e il valore riportato nella guida, che comincia con v=DKIM1; h=sha256; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A. Copia la chiave intera dalla pagina Aruba, senza troncarla e senza riscriverla a mano.

Il selettore a1 è quello dell'esempio di firma della stessa guida (s=a1). Per sapere in quale dei due casi sei non serve indovinare: manda un messaggio di prova, come spiegato più sotto, e controlla che l'intestazione riporti d= con il tuo dominio, s=a1 e l'esito dkim=pass.

Come si aggiunge un record nel pannello DNS di Aruba

La procedura, dalle guide Aruba sul pannello DNS e sui record TXT e CNAME, vale per il record a1 e per quelli di Google o Microsoft, se il DNS è gestito da Aruba.

1. Vai su admin.aruba.it, entra nel Pannello di controllo del dominio, scegli Dominio e poi Gestione DNS e Name Server. Per i domini con servizio Redirect questa voce non c'è.
2. Seleziona Aggiungi record e scegli il tipo: TXT per Aruba e Google Workspace, CNAME per Microsoft 365.
3. In Nome host inserisci il nome che ti ha dato il fornitore della posta, che per DKIM di solito ha la forma selettore._domainkey seguita dal dominio. In Valore, oppure in Nome CNAME per un CNAME, la stringa indicata dal fornitore.
4. Scegli il TTL e seleziona Aggiungi. Il pannello permette anche di pianificare l'operazione a una data e un'ora.

Aruba raccomanda di controllare che non ci siano spazi all'inizio o alla fine della stringa. Dopo il salvataggio, verifica con una query DNS che il record risponda al nome giusto, per esempio dig TXT a1._domainkey.tuodominio.it.

DKIM su Google Workspace

La guida Google Configura DKIM prevede tre passaggi, da fare come super amministratore.

1. Genera la chiave. Nella Console di amministrazione vai a App, Google Workspace, Gmail, Autentica email, scegli il dominio e fai clic su Genera nuovo record. Lunghezza: 2048 bit se il provider del dominio li supporta, altrimenti 1024. Selettore: il predefinito è google, da cambiare solo se il dominio ne usa già uno con quel nome. Se hai appena attivato Gmail, Google indica di attendere da 24 a 72 ore prima di poter generare la chiave.
2. Pubblica il record. Presso chi gestisce il DNS crea un record TXT con nome host google._domainkey e come valore la stringa che comincia con v=DKIM1, copiata dalla Console. Il record da solo non basta: la firma parte solo con il passo successivo.
3. Attiva la firma. Torna su Autentica email e fai clic su Avvia autenticazione. Dopo l'aggiunta della chiave possono servire fino a 48 ore; a configurazione riuscita lo stato diventa Autenticazione email con DKIM.

Il punto in cui ci si blocca più spesso è la lunghezza del valore. Nella pagina sulla risoluzione dei problemi DKIM, Google avverte che la maggior parte dei record TXT DKIM arriva al massimo a 255 caratteri, e con quel limite una chiave a 2048 bit non entra come stringa unica. Si divide allora la chiave in più stringhe tra virgolette, una dopo l'altra nello stesso campo: la RFC 6376 (sezione 3.6.2.2) stabilisce che le stringhe di un record TXT si concatenano senza spazi. Se il provider non lo consente, l'alternativa indicata da Google è la chiave a 1024 bit.

DKIM su Microsoft 365 (Office 365)

Microsoft 365 firma da sé la posta del dominio iniziale *.onmicrosoft.com. Per i domini personalizzati, scrive Microsoft nella guida sulla configurazione di DKIM, oggi nessuna firma DKIM viene apposta alla posta in uscita finché non la configuri. Qui i record sono due CNAME: puntano a chiavi che restano a Microsoft, a cui delegano la loro gestione.

1. Nel portale Microsoft Defender vai a Posta elettronica e collaborazione, Criteri e regole, Criteri per le minacce, Impostazioni di autenticazione della posta elettronica (oppure a security.microsoft.com/authentication), scheda DKIM.
2. Sulla riga del dominio prova ad attivare l'interruttore: si apre una finestra di errore con i valori dei CNAME. Chiudila, e lo stato passa a CnameMissing.
3. Apri i dettagli del dominio e copia i valori della sezione Pubblica CNAME.
4. Presso chi gestisce il DNS crea due CNAME, selector1._domainkey e selector2._domainkey, ciascuno verso il valore indicato.
5. Dopo qualche minuto, a volte di più, torna ai dettagli e attiva Firma i messaggi per questo dominio con firme DKIM. Se Microsoft rileva i CNAME, lo stato indica che il dominio sta firmando.

Due dettagli cambiano il risultato. Il formato: per i domini personalizzati aggiunti da maggio 2025 la destinazione del CNAME termina in dkim.mail.microsoft e contiene un carattere assegnato da Microsoft, mentre i domini già presenti restano sul formato che termina con il dominio iniziale .onmicrosoft.com. I valori quindi non si costruiscono a mano: si copiano dal portale, o da PowerShell con Get-DkimSigningConfig. E la lunghezza: in PowerShell New-DkimSigningConfig crea chiavi a 1024 bit se non indichi altro; per passare a 2048 si usa Rotate-DkimSigningConfig con -KeySize 2048, e la nuova chiave comincia a firmare dopo quattro giorni (96 ore).

Come verificare che DKIM funzioni

1. Manda un messaggio a una casella esterna, per esempio Gmail o Outlook.com, non a te stesso. Google avverte che un messaggio di prova inviato a sé non verifica DKIM; Microsoft, che la firma viene omessa tra indirizzi dello stesso dominio o di domini della stessa organizzazione.
2. Apri l'intestazione completa. In Gmail: accanto a Rispondi, Altro e poi Mostra originale.
3. Leggi due campi. In DKIM-Signature guarda d=, il dominio che ha firmato, e s=, il selettore. In Authentication-Results cerca dkim=pass.

Se l'intestazione non contiene nessuna riga DKIM, il messaggio non è firmato. Se c'è una firma valida ma d= è il dominio del fornitore e non il tuo, DKIM passa ma non aiuta DMARC: come ricorda Microsoft, DKIM supera la validazione DMARC solo se il dominio della firma e quello del mittente sono allineati.

Gli errori che fanno fallire DKIM

• Chiave troncata, o stringhe in ordine sbagliato, l'effetto tipico del limite di 255 caratteri secondo Google. Una query DNS sul selettore lo mostra subito: il valore pubblicato deve essere identico a quello del fornitore.
• Nome host sbagliato. Microsoft segnala il dominio ripetuto due volte, del tipo selector1._domainkey.contoso.com.contoso.com, che nasce sui pannelli che aggiungono il dominio da soli, oppure il nome senza _domainkey.
• Record del tipo sbagliato. Su Microsoft 365 un TXT con la chiave al posto dei due CNAME lascia lo stato su CnameMissing: Microsoft non supporta la gestione manuale delle chiavi.
• Un solo CNAME. Senza selector2 la firma può anche partire, ma la rotazione delle chiavi fallisce.
• TTL troppo basso. Microsoft consiglia almeno 3600 secondi sui CNAME DKIM: con valori come 60 o 300 la verifica può fallire a intermittenza.
• Messaggi modificati dopo la firma. Un gateway in uscita che aggiunge un piè di pagina, o un inoltro che cambia il messaggio, invalida la firma. Google indica di cercare in Authentication-Results la dicitura body hash did not verify.

Dopo la configurazione: rotazione, altri mittenti, domini fermi

Rotazione. I selettori servono anche a cambiare chiave senza interruzioni: per la RFC 6376 (sezione 3.1) si pubblicano insieme la chiave vecchia e la nuova, si firma con la nuova e si toglie la vecchia a transizione finita. Una chiave compromessa si revoca lasciando vuoto il tag p= del record.

Altri mittenti. Ogni piattaforma che spedisce a tuo nome deve firmare con il tuo dominio e un suo selettore. Per i servizi che non controlli direttamente, come l'invio massivo, Microsoft consiglia un sottodominio (per esempio marketing.tuodominio.it), perché i loro problemi non pesino sulla reputazione del dominio principale.

Domini fermi. Sui domini che non mandano posta Microsoft consiglia di non pubblicare record DKIM: senza chiave pubblica, un messaggio falso con quel dominio non supera la verifica.

Dove si colloca DKIM

DKIM da solo non dice al server che riceve cosa fare di un messaggio che non lo supera: come ricorda la guida Aruba, lo stabilisce la configurazione DMARC. E nessuno dei tre record ferma i domini somiglianti al tuo o una casella reale compromessa: per quel lato servono le misure descritte in cos'è il phishing e cosa comporta per un'azienda e le procedure contro la truffa del CEO.

Per vedere a che punto è il tuo dominio, prova il verificatore gratuito SPF, DKIM e DMARC: legge i record pubblicati e cerca la chiave DKIM tra i selettori più diffusi. Se il tuo selettore non è tra quelli, la prova che fa fede resta l'intestazione di un messaggio inviato.