Verificare il record DKIM di un dominio

Cos’è DKIM, come firma crittograficamente la tua posta, dove si pubblica la chiave pubblica (il selector <code>selector._domainkey</code>), perché protegge integrità e recapitabilità, e come individuare e sistemare gli errori più comuni. Con verifica gratuita e immediata di qualsiasi dominio.

STRUMENTO GRATUITO · SENZA REGISTRAZIONE

Controlla ora il DKIM del tuo dominio

Inserisci il tuo dominio e il nostro analizzatore di autenticazione della posta verifica in pochi secondi la tua firma DKIM insieme a SPF, DMARC e MX. Poiché DKIM dipende da un selector, l’analizzatore prova i più comuni (google, selector1, selector2, k1…); se il tuo selector è personalizzato, tienilo a portata di mano. L’analisi è immediata e non memorizziamo il tuo dominio.

Che cos’è il record DKIM?

DKIM (DomainKeys Identified Mail, definito nell’RFC 6376) aggiunge una firma crittografica a ogni email che esce dal tuo dominio. Il tuo server di invio firma un insieme di intestazioni e il corpo del messaggio con una chiave privata e pubblica la chiave pubblica corrispondente nel DNS come record TXT. Quando un server ricevente riceve l’email, legge l’intestazione DKIM-Signature, scarica la tua chiave pubblica e verifica la firma: se corrisponde, conferma che un mittente autorizzato dal tuo dominio l’ha firmata e che il contenuto non è stato alterato in transito. A differenza di SPF, la firma viaggia dentro il messaggio stesso.

Come appare un record DKIM e cos’è il selector

Ogni email firmata porta un’intestazione con il dominio (d=) e il selector (s=):

DKIM-Signature: v=1; a=rsa-sha256; d=esempio.it; s=google;
  h=from:to:subject:date; bh=…; b=…

Quel selector indica ai destinatari dove trovare la chiave pubblica nel tuo DNS. Il record TXT si pubblica in selector._domainkey.tuodominio:

google._domainkey.esempio.it.  TXT
  "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC…"

Il selector è un nome che scegli tu (google, selector1, selector2, k1…). Ti consente di avere più chiavi contemporaneamente —una per ciascun provider di invio— e di ruotarle senza interrompere la posta. Senza conoscere il selector, è impossibile localizzare il record DKIM di un dominio.

Perché conta: integrità, recapitabilità e il trio

DKIM offre due garanzie: che il messaggio è stato firmato da qualcuno autorizzato dal tuo dominio e che nessuno ne ha manomesso il contenuto lungo il tragitto. Inoltre la firma sopravvive all’inoltro meglio di SPF, perché viaggia con il messaggio e non dipende dall’IP che lo consegna. Provider come Google e Microsoft controllano DKIM e lo considerano nel decidere la tua recapitabilità. Ed è fondamentale per DMARC: perché DMARC approvi un’email, serve che SPF o DKIM passi con allineamento rispetto al dominio visibile. Insieme a SPF e DMARC, DKIM è uno dei tre pilastri dell’autenticazione della posta.

Errori comuni che rompono il tuo DKIM

Chiave debole da 1024 bit: oggi considerata insufficiente; Google e Microsoft raccomandano chiavi RSA da 2048 bit.
Selector inesistente: se il record non è pubblicato o il selector non coincide con quello che firma, la verifica fallisce e il destinatario non trova la chiave.
Record TXT spezzato male: la chiave pubblica (p=) è lunga e il DNS limita ogni stringa a 255 caratteri, quindi va suddivisa in più stringhe tra virgolette; se tagliata male, la chiave diventa non valida.
Flag di test in produzione: lasciare t=y (modalità test) fa sì che i destinatari trattino la firma come non vincolante.
Chiave non ruotata: mantenere la stessa chiave per anni aumenta il rischio in caso di fuga.

Come configurare o sistemare il DKIM passo dopo passo

1. Genera la coppia di chiavi presso il tuo provider di invio (Google Workspace, Microsoft 365, la piattaforma di marketing o il CRM); ti fornisce il nome del selector e il valore della chiave pubblica.
2. Pubblica il record TXT in selector._domainkey.tuodominio con la chiave pubblica indicata.
3. Attiva la firma DKIM nel pannello del provider e attendi la propagazione del DNS.
4. Invia un’email di test e verifica che l’intestazione DKIM-Signature validi e che d= coincida con il tuo dominio.
5. Usa 2048 bit, ruota la chiave periodicamente e mantieni un selector distinto per ogni provider.
Puoi controllare ogni passo con il nostro analizzatore gratuito.

Domande frequenti su DKIM

Come verifico il record DKIM del mio dominio?

Inserisci il tuo dominio nel nostro analizzatore gratuito. Poiché DKIM si localizza tramite un selector, proviamo i più comuni (google, selector1, selector2, k1…) e ti diciamo se troviamo una chiave pubblica valida, insieme a SPF, DMARC e MX. Se usi un selector personalizzato che non appare per impostazione predefinita, tienilo a portata di mano per confermarlo.

Che cos’è un selector DKIM?

È il valore del tag s= della firma e fa parte del nome del record DNS: selector._domainkey.tuodominio. Serve a localizzare la chiave pubblica corretta e ti permette di avere più chiavi contemporaneamente (una per provider di invio) e di ruotarle senza interrompere la posta.

Una chiave DKIM da 1024 bit è sicura?

È considerata debole. La raccomandazione attuale di Google e Microsoft è usare chiavi RSA da 2048 bit. Se il tuo DKIM firma ancora con 1024 bit, conviene rigenerare la coppia di chiavi a 2048 e aggiornare il record TXT.

DKIM basta a fermare lo spoofing?

Non da solo. DKIM dimostra integrità e autorizzazione, ma non lega la firma all’indirizzo visibile che vede il destinatario né applica alcuna policy. Per questo serve DMARC, che richiede che SPF o DKIM passi con allineamento rispetto al mittente visibile e definisce cosa fare in caso di fallimento.

Fonti e riferimenti

Aggiornato: luglio 2026 · Contenuto informativo; non costituisce consulenza.

Continua a imparare

Monitora in continuo l’autenticazione della tua posta

Registrati gratis su OCIRIA Security e ricevi avvisi quando il tuo DKIM, SPF o DMARC cambia o smette di proteggere il tuo dominio.

Registrati gratis Parla con noi