Attivare una chiave DKIM

DKIM si attiva in tre mosse: far creare una chiave nel pannello di 2Mail, mettere nel DNS del tuo dominio il record che ti viene mostrato lì e, dopo un controllo riuscito, attivare la firma. Il nome di quel record è composto da un selettore, dalla componente _domainkey e dal tuo dominio. L'errore più frequente: il pannello DNS aggiunge da sé il tuo dominio in coda un'altra volta, e allora nessuno trova il record.

Che cosa fa DKIM e che cos'è un selettore

DKIM mette una firma digitale su ogni messaggio che parte tramite 2Mail. Il server destinatario controlla quella firma con una chiave pubblica nel DNS del tuo dominio. La metà privata della chiave resta sui nostri server; non dovrai mai inserirla da nessuna parte.

Il selettore è l'etichetta che dice quale chiave è stata usata. Sta nella firma di ogni messaggio, e il destinatario cerca la chiave sotto il selettore, seguito da ._domainkey e dal tuo dominio. Grazie ai selettori un dominio può avere più chiavi contemporaneamente: una per ogni servizio che invia a tuo nome, e per un periodo due quando sostituisci una chiave. A differenza di SPF, quindi, non unisci nulla. La chiave della posta dell'ufficio o dello strumento per le newsletter resta dov'è, quella di 2Mail le si affianca.

Sempre un record TXT

Il record DKIM di 2Mail è sempre un record TXT. Contiene la chiave pubblica stessa: un valore lungo che comincia con v=DKIM1. Il pannello di 2Mail mostra il nome e il valore, pronti da copiare. Con altri servizi d'invio incontri a volte un record CNAME: non contiene alcuna chiave, ma rimanda a un record gestito da quel servizio. Per 2Mail non crei alcun CNAME. Su uno stesso nome, inoltre, non possono mai stare insieme un CNAME e un altro record.

Attivare la chiave in sette passi

1. Apri il tuo dominio d'invio nel pannello di 2Mail e fa' creare una chiave DKIM nella sezione dell'autenticazione. Ti vengono mostrati il nome del record (con il selettore come prefisso), il tipo e il valore.
2. Vai alla gestione DNS del fornitore presso cui si trovano i nameserver del tuo dominio. Non è per forza quello da cui hai comprato il dominio.
3. Crea un record di tipo TXT.
4. Come nome inserisci solo la parte che precede il tuo dominio: il selettore, un punto e _domainkey. Quasi tutti i pannelli completano da soli il dominio.
5. Incolla il valore alla lettera, senza aggiungere spazi o interruzioni di riga.
6. Salva, torna nel pannello e fa' controllare il record a 2Mail. Non appena riesce, attiva la firma.
7. Invia un messaggio di prova a un indirizzo esterno e guarda le intestazioni: nei risultati di autenticazione deve comparire dkim=pass, accompagnato dal tuo dominio.

Perché a volte una chiave lunga va spezzata

Una singola stringa in un record TXT può contare al massimo 255 caratteri. Una chiave da 2048 bit, oggi la lunghezza abituale, è più lunga. Un valore del genere viene quindi conservato come più stringhe dentro lo stesso record; il destinatario le ricompone. La maggior parte dei pannelli lo fa per te senza che te ne accorga. Se il tuo pannello rifiuta il valore perché troppo lungo, taglialo tu in due parti, metti ciascuna parte tra virgolette doppie e separale con un solo spazio, sempre in un unico record. Non farne mai due record distinti, e bada che nel taglio non vada perso nessun carattere.

Dove aggiungere il record, gestore per gestore

La trappola è dappertutto la stessa: il pannello aggiunge automaticamente il tuo dominio dopo il nome. Se scrivi il nome completo con il dominio, il record finisce un livello troppo in basso. Inserisci quindi solo la parte che precede il tuo dominio, a meno che il pannello chieda espressamente il nome completo.

• Cloudflare — scegli il dominio, apri DNS e i record, e aggiungi un record che abbia come nome la parte che precede il tuo dominio. L'interruttore del proxy (la nuvoletta arancione) non esiste per i record TXT; non devi farci nulla.
• Combell — nel pannello di controllo, nel tuo nome a dominio, sotto la gestione DNS. I record TXT vi hanno una sezione propria.
• one.com — nelle impostazioni DNS, sotto i record DNS. Il pannello mostra già il tuo dominio dopo il campo del nome: scrivi solo la parte iniziale.
• TransIP — nella parte DNS del dominio aggiungi una riga che abbia come nome la parte che precede il tuo dominio. Non dimenticare di salvare in fondo.
• OVHcloud — nella scheda della zona DNS aggiungi un record di tipo TXT; nel campo del sottodominio va la parte iniziale del nome.
• GoDaddy — nella gestione DNS del dominio aggiungi un nuovo record; nel campo del nome va solo la parte che precede il tuo dominio.
• Microsoft 365 — se il DNS del tuo dominio sta presso Microsoft stessa, aggiungi nell'interfaccia di amministrazione, nel tuo dominio, un record DNS personalizzato. Se lì vedi già i record selector1 e selector2 sotto _domainkey, lasciali stare: sono le chiavi di Microsoft per la posta che parte tramite Exchange Online. Il record di 2Mail ha un selettore proprio e si affianca a quelli.

Controllare

Il controllo nel pannello è il riferimento. Se vuoi vedere tu stesso che cosa vede il mondo esterno, inserisci il tuo dominio e il selettore indicato dal pannello nel controllo gratuito di SPF, DKIM e DMARC. Un record nuovo è di norma visibile entro un'ora; un record modificato segue il TTL precedente.

Se il controllo continua a fallire

1. Guarda com'è scritto davvero il nome nel pannello DNS. Se finisce con il tuo dominio ripetuto due volte, il dominio lo hai aggiunto tu. Correggi il nome finché resta solo la parte iniziale.
2. Controlla il pannello. Se i nameserver puntano a un altro fornitore, il record sta in un posto dove nessuno guarda.
3. Controlla il tipo. Deve essere un record TXT, non un CNAME.
4. Esamina il valore. Niente spazi, niente interruzioni di riga, non troncato a metà, non diviso su due record, e niente virgolette tipografiche arrivate da una e-mail o da un documento Word.
5. Se il pannello rifiuta il trattino basso di _domainkey, può risolverlo solo il tuo gestore DNS. Il trattino basso fa parte del nome e non si può togliere.
6. Aspetta che passi il TTL prima di riprovare, e prova dal pannello o dal controllo gratuito, non dal tuo dispositivo.

Se il controllo riesce ma un destinatario segnala comunque dkim=fail, un'applicazione intermedia modifica il messaggio dopo la firma, per esempio uno strumento per le firme o una nota legale aggiunta in un secondo momento.

Più domini

DKIM è per dominio d'invio. Se invii da più domini, ripeti questi passi per ciascuno. Un sottodominio, per esempio un dominio separato per le newsletter, ha il proprio record.

Sostituire la chiave più avanti

Se vuoi ruotare la chiave, per esempio dopo un cambio di personale o perché una politica di sicurezza lo richiede, crea nel pannello una nuova chiave con un altro selettore. Metti il nuovo record nel tuo DNS e attiva la nuova chiave appena il controllo riesce. Revoca poi la vecchia chiave nel pannello, ed elimina il vecchio record solo qualche giorno dopo. Così i messaggi ancora in viaggio restano validi.

Se il tuo record SPF non è ancora a posto, comincia da aggiungere un record SPF presso il tuo gestore DNS. Attiva poi DMARC: il record lo prepari con il generatore di record DMARC. Il quadro generale sui tre record sta su SPF, DKIM e DMARC.

Domande frequenti

Devo inserire la chiave privata da qualche parte?

No. La metà privata resta sui server di 2Mail. Nel tuo DNS va solo la parte pubblica, e quella può vederla chiunque.

La chiave di 2Mail può stare accanto a quella di Microsoft 365 o Google Workspace?

Sì. Ogni servizio firma con un selettore proprio, e ogni selettore ha un record proprio. Non si intralciano; non devi unire né eliminare nulla.

DKIM basta senza SPF?

Per DMARC è sufficiente che uno dei due riesca con il tuo dominio, ma non farci affidamento. SPF fallisce con la posta inoltrata e DKIM fallisce quando un messaggio viene modificato lungo il percorso. Con entrambi a posto, l'uno copre l'altro.

Ogni quanto devo sostituire la chiave?

Una regola fissa non esiste. Sostituisci la chiave quando lo richiede la tua politica di sicurezza, o quando hai un motivo per dubitare della chiave attuale. Lavorando con un nuovo selettore, il cambio avviene senza interruzioni.

Non ci riesci?

Mandaci tramite contatto il tuo nome a dominio e uno screenshot del record nel tuo pannello DNS. Verifichiamo che cosa non torna.