Guida all'implementazione del DKIM: Le insidie più comuni e come evitarle

Il DKIM (Domain Keys Identified Mail) è un protocollo di autenticazione delle e-mail che verifica l'integrità del messaggio e la legittimità del mittente. Il DKIM è essenziale per il BIMI (Brand Indicators for Message Identification), perché solo le e-mail correttamente autenticate possono mostrare il logo del vostro marchio nella casella di posta. Tuttavia, l'impostazione del DKIM è soggetta a diverse insidie comuni che possono compromettere sia la sicurezza che la deliverability.

• Chiave pubblica mancante o errata nel DNS: Se la chiave pubblica DKIM non è pubblicata o è formattata in modo errato nel DNS, l'autenticazione non riesce. Utilizzate sempre un generatore di record DKIM e convalidate le voci DNS per verificare la presenza di errori di sintassi.
• Lunghezza della chiave debole o obsoleta: L'uso di chiavi più corte di 1024 bit (ad esempio, 512 bit) rende il vostro DKIM vulnerabile agli attacchi. Utilizzate chiavi di almeno 1024 bit - si consiglia di utilizzare chiavi di 48 bit - e ruotatele ogni 6-12 mesi.
• Problemi di allineamento: Il dominio nella firma DKIM (valore d=) deve corrispondere al dominio dell'indirizzo "Da". Un allineamento errato porta a fallimenti dell'autenticazione e può infrangere la conformità DMARC.
• Mancata corrispondenza del selettore: Il selettore nel record DNS deve corrispondere al selettore nell'intestazione dell'e-mail. Anche una mancata corrispondenza di un solo carattere può causare errori.
• Formattazione errata: I record DKIM devono essere una singola stringa ininterrotta nel DNS. Le interruzioni di riga, i punti e le virgole non evidenziati o i campi mancanti (come v=DKIM1 o k=rsa) invalidano il record.
• Dimenticando di abilitare la firma DKIM: La pubblicazione del record DNS non è sufficiente: assicuratevi che la firma DKIM sia abilitata sul vostro server di posta o con il vostro provider di posta elettronica.
• Ignorare i sottodomini e i fornitori terzi: Se inviate posta da sottodomini o utilizzate servizi di terze parti, ognuno di essi deve avere il DKIM configurato correttamente per evitare lacune nell'autenticazione.
• Non monitorare o testare: Verificate regolarmente la vostra configurazione DKIM e monitorate i rapporti DMARC per individuare tempestivamente i problemi. Dopo qualsiasi modifica, inviate e-mail di prova e verificate che il DKIM passi.

• Utilizzare chiavi forti e regolarmente ruotate: 1024-2048 bit.
• Controllare due volte la formattazione del DNS e l'allineamento dei selettori: Assicurare una sintassi corretta e selettori corrispondenti.
• Allineare i domini DKIM: Il dominio nella firma DKIM deve corrispondere all'indirizzo "Da".
• Test dopo ogni aggiornamento: monitorare i risultati dell'autenticazione con i rapporti DMARC.
• Coordinarsi con i mittenti terzi: Assicurarsi che tutti i fornitori implementino correttamente il DKIM.
• Revocare le chiavi vecchie o compromesse: E rimuoverle dal DNS per evitare un uso improprio.

• Verificare i ritardi di propagazione del DNS: Le modifiche possono richiedere fino a 48 ore.
• Esaminare i rapporti di fallimento DMARC e DKIM: Cercare indizi su cosa non funziona e perché.
• Verificare che il contenuto del messaggio non venga alterato dopo la firma: Assicurarsi che gli strumenti di inoltro o di sicurezza non stiano modificando il messaggio.
• Consultate la documentazione del vostro provider di servizi e-mail: Seguire le indicazioni specifiche della piattaforma per risolvere i problemi di autenticazione.