Validatore sintassi DKIM

Comprendere il funzionamento della sintassi DKIM

DomainKeys Identified Mail (DKIM) aggiunge una firma digitale ai messaggi in uscita affinché il destinatario possa verificare che provengano davvero dalla tua infrastruttura. La chiave pubblica necessaria per la verifica è contenuta in un record TXT. Questa pagina spiega come leggere la sintassi e come il checker interpreta i campi restituiti dall'API.

Cosa contiene un record TXT DKIM?

Un record DKIM è un elenco di tag separati da punto e virgola. Ogni tag ha un nome breve seguito da un segno di uguale e dal relativo valore. Il validatore rimuove gli spazi, ignora l'ordine e accetta le righe spezzate purché la sintassi resti coerente.

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...

Tag obbligatori da pubblicare

• v – indicatore di versione. DKIM1 è l'unico valore attualmente supportato.
• k – tipo di chiave. Le chiavi RSA (rsa) restano lo standard de facto. Ed25519 (ed25519) è emergente ma ancora raro.
• p – materiale della chiave pubblica in base64. Rimuovere spazi e virgolette superflue è indispensabile prima della pubblicazione.

Se uno di questi tag manca, è vuoto o malformato, la firma non può essere verificata. Lo strumento evidenzia l'esatto problema così da rigenerare la chiave o correggere la voce DNS.

Tag opzionali che affinano il comportamento

• h limita gli algoritmi di hash che possono verificare la firma (sha256 è consigliato, sha1 è deprecato).
• t abilita flag come y (modalità test) o s (allineamento stretto sul nome del selettore).
• s definisce l'elenco di servizi per cui la chiave è valida. Lasciarlo vuoto implica la posta.
• g limita la chiave a un utente o sub‑indirizzo specifico se necessario.
• n consente di lasciare note operative per la diagnostica.

Puoi omettere questi tag se ti affidi ai valori predefiniti. Il checker li mostra comunque nel blocco “Dettagli del record” se presenti, così da verificare cosa verrà restituito dal DNS.

Errori sintattici comuni rilevati dal validatore

1. Valori fra virgolette copiati dai provider DNS. Rimuovi virgolette e ritorni a capo prima di inviare il record.
2. Virgolette tipografiche o punti e virgola extra. Il parser si aspetta virgolette ASCII e un solo ; tra i tag.
3. Tag composti solo da spazi. I valori vuoti vengono trattati come tali e generano avvisi o errori a seconda del campo.
4. Mix di versioni o tipi di chiave diversi. Usa v=DKIM1 e un solo tipo di chiave per record.
5. Chiavi pubbliche troncate. Assicurati che il blocco base64 non sia stato tagliato durante copia/incolla o per limiti di lunghezza del record.

Ogni diagnostica restituita dall'API viene mappata sul badge in cima ai risultati. Gli errori indicano che il record non è utilizzabile; gli avvisi segnalano configurazioni rischiose ma tecnicamente valide.

Buone pratiche prima di pubblicare il record

• Genera la coppia di chiavi da un server affidabile o tramite il tuo provider di posta e conserva la parte privata in modo sicuro.
• Mantieni il nome del selettore breve e univoco per facilitare le rotazioni (selector2024._domainkey.example.com).
• Imposta un TTL coerente con la tua policy di rotazione. TTL brevi agevolano revoche urgenti; TTL lunghi riducono il traffico DNS quando tutto è stabile.
• Documenta chi gestisce il selettore e quando è stato ruotato per l'ultima volta.

Eseguire il validatore sintattico con il valore finale garantisce che il record TXT verrà interpretato correttamente una volta pubblicato. Combinalo con un lookup DNS per ricontrollare la propagazione e con i report DMARC per monitorare la qualità delle firme nel tempo.