{"id":74130,"date":"2023-09-05T18:52:58","date_gmt":"2023-09-05T18:52:58","guid":{"rendered":"https:\/\/mailrelay.com\/glossary\/dkim-domainkeys-identified-mail\/"},"modified":"2026-10-07T00:43:30","modified_gmt":"2026-10-07T00:43:30","slug":"dkim-domainkeys-identified-mail","status":"publish","type":"glossary","link":"https:\/\/mailrelay.com\/pt\/glossario\/dkim-domainkeys-identified-mail\/","title":{"rendered":"DKIM (DomainKeys Identified Mail)"},"content":{"rendered":"\n

DKIM (DomainKeys Identified Mail) \u00e9 uma assinatura digital adicionada a cada email para provar que ele foi enviado pelo seu dom\u00ednio.<\/strong> Ela tamb\u00e9m prova que ningu\u00e9m o alterou no caminho. O servidor que o recebe verifica essa assinatura com um dado que voc\u00ea publica no seu DNS.<\/p>\n\n

Pense no selo de cera de uma carta antiga. Se ele chega intacto, voc\u00ea sabe quem a enviou e que ningu\u00e9m a abriu.<\/p>\n\n

Essa assinatura faz o mesmo com os seus emails. E hoje ela \u00e9 quase obrigat\u00f3ria: sem ela, muitos dos seus emails v\u00e3o acabar no spam.<\/p>\n\n

O que \u00e9 DKIM?<\/h2>\n\n

\u00c9 um padr\u00e3o de autentica\u00e7\u00e3o de email definido na RFC 6376 (2011). Surgiu da uni\u00e3o de duas propostas anteriores: DomainKeys, do Yahoo, e Identified Internet Mail, da Cisco.<\/p>\n\n

Seu objetivo \u00e9 responder a duas perguntas:<\/strong> esta mensagem foi enviada de verdade pelo dom\u00ednio que diz t\u00ea-la enviado? Ela chegou exatamente como saiu?<\/p>\n\n

Para isso, usa criptografia de chave p\u00fablica. Seu servidor assina cada mensagem com uma chave privada, e qualquer um pode verificar o resultado com a chave p\u00fablica, que fica no seu DNS.<\/p>\n\n

Como funciona a assinatura DKIM?<\/h2>\n\n

O processo tem quatro etapas e acontece em milissegundos, sem que o destinat\u00e1rio perceba.<\/p>\n\n

\"Como<\/figure>\n\n

1. O servidor assina a mensagem<\/h3>\n\n

Ao enviar, o servidor calcula um resumo (hash) dos cabe\u00e7alhos e do corpo do email e o criptografa com a chave privada. O resultado \u00e9 adicionado \u00e0 mensagem em um cabe\u00e7alho chamado DKIM-Signature<\/strong>.<\/p>\n\n

2. A assinatura viaja com o email<\/h3>\n\n

Esse cabe\u00e7alho inclui o dom\u00ednio que assina (tag d=), o seletor (s=) e a pr\u00f3pria assinatura (b=). O seletor indica onde est\u00e1 a chave p\u00fablica no DNS.<\/p>\n\n

3. O receptor busca a chave p\u00fablica<\/h3>\n\n

O servidor que recebe o email consulta o DNS em seletor._domainkey.seudominio.com<\/strong> e obt\u00e9m esse dado.<\/p>\n\n

4. O receptor verifica a assinatura<\/h3>\n\n

Com ele, descriptografa a assinatura e a compara com o seu pr\u00f3prio c\u00e1lculo da mensagem. Se coincidirem, o resultado \u00e9 dkim=pass<\/strong>. Se algu\u00e9m alterou algo, a assinatura n\u00e3o bate e o resultado \u00e9 fail.<\/p>\n\n

O que cont\u00e9m um registro DKIM<\/h2>\n\n

\u00c9 um TXT (ou um CNAME que aponta para ele) com algumas poucas tags:<\/p>\n\n

Tag<\/th>O que indica<\/th>Exemplo<\/th><\/tr><\/thead>
v<\/td>Vers\u00e3o do protocolo<\/td>v=DKIM1<\/td><\/tr>
k<\/td>Tipo de chave<\/td>k=rsa<\/td><\/tr>
p<\/td>Chave p\u00fablica<\/td>p=MIIBIjANBgkqh\u2026<\/td><\/tr>
Nome do registro<\/td>Seletor + _domainkey + dom\u00ednio<\/td>ipz._domainkey.seudominio.com<\/td><\/tr><\/tbody><\/table><\/figure>\n\n

Use chaves de 2048 bits se o seu provedor permitir.<\/strong> As de 1024 bits continuam funcionando, mas s\u00e3o menos seguras.<\/p>\n\n

Por que ele \u00e9 t\u00e3o importante?<\/h2>\n\n

Porque Gmail, Yahoo e Microsoft j\u00e1 o exigem.<\/strong> Desde fevereiro de 2024, Gmail e Yahoo exigem os tr\u00eas protocolos de autentica\u00e7\u00e3o de quem envia mais de 5.000 emails por dia. A Microsoft aplica requisitos parecidos no Outlook desde maio de 2025.<\/p>\n\n

Ele tamb\u00e9m protege a sua marca. Sem assinatura, fica mais f\u00e1cil algu\u00e9m falsificar o seu dom\u00ednio para enviar phishing.<\/p>\n\n

E melhora a sua entregabilidade<\/a>. Um dom\u00ednio que sempre assina seus emails constr\u00f3i reputa\u00e7\u00e3o com os provedores de email.<\/p>\n\n

DKIM, SPF e DMARC: diferen\u00e7as<\/h2>\n\n

Os tr\u00eas trabalham juntos, mas cada um verifica uma coisa diferente:<\/p>\n\n

Protocolo<\/th>O que verifica<\/th>Onde \u00e9 configurado<\/th><\/tr><\/thead>
SPF<\/a><\/td>Quais servidores podem enviar em nome do seu dom\u00ednio<\/td>Um TXT no DNS do seu dom\u00ednio<\/td><\/tr>
DKIM<\/td>Que a mensagem foi assinada pelo seu dom\u00ednio e n\u00e3o foi alterada<\/td>Um TXT ou CNAME em seletor._domainkey<\/td><\/tr>
DMARC<\/a><\/td>O que fazer se o SPF ou o DKIM falharem e quem recebe os relat\u00f3rios<\/td>Um TXT em _dmarc<\/td><\/tr><\/tbody><\/table><\/figure>\n\n

A assinatura tem uma vantagem sobre o SPF:<\/strong> costuma sobreviver ao encaminhamento, porque fica dentro da mensagem. J\u00e1 o SPF falha quando outro servidor encaminha o email.<\/p>\n\n

Para o DMARC aprovar, o dom\u00ednio da assinatura precisa coincidir com o do remetente. \u00c9 o que se chama de alinhamento. Voc\u00ea encontra os detalhes em autentica\u00e7\u00e3o de email<\/a>.<\/p>\n\n

\n

Envie emails autenticados com o seu dom\u00ednio<\/strong><\/p>\n\n\n\n

Configure DKIM, SPF e DMARC no Mailrelay e envie at\u00e9 80.000 emails por m\u00eas gr\u00e1tis para 20.000 contatos.<\/p>\n\n\n\n

\n
Criar conta gr\u00e1tis<\/a><\/div>\n<\/div>\n<\/div><\/div>\n\n

Como configurar o DKIM passo a passo<\/h2>\n\n

A configura\u00e7\u00e3o \u00e9 feita no DNS do seu dom\u00ednio e tem quatro etapas. Voc\u00ea n\u00e3o precisa mexer no seu servidor de email.<\/p>\n\n

1. Obtenha os dados do seu provedor de envio<\/h3>\n\n

Cada plataforma fornece o seletor e o valor do registro, ou um CNAME que aponta para ele. Use sempre os dados do seu provedor:<\/strong> n\u00e3o copie os de outro.<\/p>\n\n

2. Crie o registro no seu DNS<\/h3>\n\n

Acesse o painel do seu dom\u00ednio e adicione o TXT ou o CNAME com o nome exato. Se voc\u00ea usa Cloudflare, deixe o CNAME no modo “Somente DNS”, sem o proxy ativado.<\/p>\n\n

3. Aguarde a propaga\u00e7\u00e3o<\/h3>\n\n

As altera\u00e7\u00f5es de DNS podem levar de alguns minutos at\u00e9 48 horas.<\/p>\n\n

4. Verifique se funciona<\/h3>\n\n

Envie um email para voc\u00ea mesmo no Gmail e abra o menu “Mostrar original”. Voc\u00ea deve ver DKIM: PASS<\/strong> com o seu dom\u00ednio. Voc\u00ea tamb\u00e9m pode usar ferramentas como MXToolbox ou mail-tester.<\/p>\n\n

Erros comuns ao configur\u00e1-lo<\/h2>\n\n

O erro mais comum \u00e9 um seletor escrito incorretamente.<\/strong> Se o nome do registro n\u00e3o coincidir com o usado na assinatura, o receptor n\u00e3o o encontra.<\/p>\n\n

Outras falhas comuns:<\/p>\n\n