Saltar para o conteúdo
Ajuda de emergênciaComeçar agora
Voltar para Ferramentas

Verificador de DKIM

Verifique se um domínio publica chaves públicas DKIM. A análise procura em 14 seletores comuns, lista os que encontra e classifica o SPF, o DMARC e o resto da segurança de e-mail do domínio.
Começar a verificação
  • Verificação baseada em DNS
  • Análise Não Intrusiva

O que é um registo DKIM?

O DKIM (DomainKeys Identified Mail) permite que um serviço de e-mail assine cada mensagem que envia. A chave pública que verifica a assinatura é um registo DNS TXT no nome formado pelo seletor, seguido de _domainkey e do domínio, por exemplo selector1._domainkey.example.com. O seletor é um nome escolhido por quem assina o e-mail, pelo que um domínio pode publicar várias chaves (RFC 6376).

O seletor só aparece na etiqueta s= do cabeçalho DKIM-Signature de uma mensagem assinada, por isso uma verificação de DNS tem de o adivinhar. Este verificador testa 14 seletores comuns: google, selector1, selector2, default, dkim, mail, k1, k2, s1, s2, sig1, email, smtp e postmark. Lista os que publicam uma chave e executa a análise completa de segurança de e-mail.

Uma chave em qualquer outro seletor não é encontrada e é indicada como em falta, mesmo quando o seu e-mail é assinado. O verificador ainda não aceita um seletor personalizado; os problemas abaixo explicam como verificar um por si próprio.

Como a verificação DKIM pontua o resultado

O DKIM vale 15 dos 100 pontos da classificação global de segurança de e-mail.
Chave encontrada
Se algum dos 14 seletores tiver um registo TXT com v=DKIM1 ou p=, o DKIM obtém 100.
Apenas um seletor
Obtém na mesma 100, com a sugestão de publicar um segundo seletor para poder fazer a rotação de chaves.
Nenhuma chave encontrada
Obtém 0 e é indicado como em falta, com a lista de seletores testados.

Problemas comuns de DKIM e como corrigi-los

Estes são os resultados que este verificador apresenta, com a alteração que corrige cada um.

Seletor não encontrado

O seu serviço de e-mail pode assinar com um seletor fora dos 14 que o verificador testa, pelo que um domínio assinado pode aparecer como em falta.

Correção: Abra uma mensagem que enviou, localize o cabeçalho DKIM-Signature e leia as respetivas etiquetas s= e d=. Depois, consulte a chave com dig ou confirme-a na consola de administração do seu serviço de e-mail.

dig TXT selector1._domainkey.example.com

DKIM não configurado

Cada serviço que envia e-mail em nome do seu domínio precisa da sua própria chave publicada sob o respetivo seletor e da assinatura ativada nesse serviço. Sem DKIM, o DMARC depende apenas do SPF, que o reencaminhamento muitas vezes quebra.

Correção: Ative a assinatura DKIM em cada serviço de e-mail e publique os registos TXT ou CNAME que este lhe indicar.

Apenas um seletor

Substituir a chave no mesmo seletor pode quebrar a verificação de mensagens já em trânsito. Os seletores existem para que uma nova chave possa ser publicada a par da antiga (RFC 6376, secção 3.1).

Correção: Publique a nova chave num segundo seletor, passe a assinar com ela e, depois, remova o registo antigo.

Etiquetas do registo DKIM

Um registo de chave DKIM é uma lista de pares etiqueta=valor separados por ponto e vírgula.
v=DKIM1
A versão. Recomendada; quando presente, tem de ser a primeira etiqueta.
k=
O tipo de chave, rsa por predefinição.
p=
A chave pública, codificada em base64. Um valor vazio significa que a chave foi revogada.
s= / d=
Etiquetas no cabeçalho DKIM-Signature de uma mensagem: o seletor e o domínio de assinatura, que indicam aos servidores recetores onde encontrar a chave.

Exemplo de registo

selector1._domainkey.example.com TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A..."

Fontes

Mais ferramentas de autenticação de e-mail

Para além dos registos DNS

Estes registos impedem que terceiros enviem e-mail em nome do seu domínio exato. Não impedem o phishing a partir de domínios semelhantes nem de contas comprometidas, que enviam e-mail autenticado. O Vigilbase OS liga as ferramentas de segurança que já paga, incluindo Microsoft 365, Google Workspace, Proofpoint e Mimecast. O agente Vigil investiga incidentes de alta severidade e os analistas da Vigilbase tratam das exceções.

SOC geridoComeçar agora
Perguntas

Perguntas frequentes sobre o verificador de DKIM

O que faz um verificador de DKIM?

Procura chaves públicas DKIM no DNS. Este verificador consulta 14 seletores comuns em _domainkey do domínio, indica quais publicam uma chave e executa a análise completa de segurança de e-mail.Analisador de segurança de e-mailCompare as verificações públicas de segurança

Como encontro o meu seletor DKIM?

Abra os cabeçalhos de uma mensagem que tenha enviado e encontre o cabeçalho DKIM-Signature. A etiqueta s= é o seletor e a etiqueta d= é o domínio de assinatura. A chave pública é publicada no nome formado pelo seletor, seguido de _domainkey e do domínio.Por exemplo, s=selector1 e d=example.com significam que a chave é um registo TXT em selector1._domainkey.example.com.Sobre a autenticação de e-mail

Porque é que a verificação indica que o DKIM está em falta quando o meu e-mail é assinado?

O seu serviço de e-mail provavelmente usa um seletor que o verificador não testa. Só são consultados os 14 seletores comuns, pelo que uma chave em qualquer outro seletor é indicada como em falta. Consulte esse seletor com dig ou na consola de administração do seu serviço de e-mail.Sobre a autenticação de e-mailAnalisador de segurança de e-mail

Posso introduzir o meu próprio seletor DKIM?

Ainda não. A análise desta página testa uma lista fixa de seletores comuns. Para verificar um seletor personalizado, execute dig TXT selector._domainkey.example.com com o seu próprio seletor e domínio.Sobre a autenticação de e-mail

O DKIM, por si só, impede a falsificação?

Não. Uma assinatura DKIM prova que domínio assinou uma mensagem, não que corresponde ao endereço From que as pessoas veem. O DMARC exige um pass alinhado de DKIM ou SPF e indica aos servidores recetores o que fazer quando não existe nenhum.Sobre a autenticação de e-mailAnalisador de segurança de e-mail

Posso verificar o DKIM através de uma API?

Sim. Envie um POST com {"target":"example.com"} para https://vigilbase.com/api/v1/agent/tools/email-security/execute. A resposta contém o resultado completo de segurança de e-mail, com a análise DKIM em result.details.records.dkim.Execute uma verificação através da API públicaAutenticação da API e limites de pedidos