Perché validare la sintassi DKIM prima della pubblicazione?
Hai appena generato una nuova coppia di chiavi DKIM o copiato un record dal tuo provider email. Prima di pubblicarlo nella tua zona DNS, un errore di sintassi può rovinare tutto: tag mancante, chiave troncata, virgolette fuori posto.
Il validatore di sintassi DKIM analizza il tuo valore localmente - senza query DNS - per rilevare questi problemi prima che impattino la tua deliverability.
Tre casi d'uso principali:
- Nuova configurazione DKIM: Valida la chiave pubblica generata dal tuo server o ESP prima di aggiungerla al DNS
- Migrazione di provider: Verifica che il valore copiato sia completo e correttamente formattato
- Rotazione delle chiavi: Assicurati che il nuovo selettore sia pronto prima di sostituire il vecchio
Come usare il validatore in 3 passaggi
Passaggio 1: Ottieni il valore DKIM
Copia il valore del record DKIM da:
- Il tuo server di posta (Postfix, Exchange, ecc.)
- Il tuo ESP (Google Workspace, Microsoft 365, Mailchimp, SendGrid...)
- Un generatore di chiavi DKIM online
Formato atteso:
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...
Passaggio 2: Incolla nel validatore
Incolla il valore completo nel campo sopra. Lo strumento analizza istantaneamente:
- ✅ Presenza dei tag obbligatori (
v,k,p) - ✅ Formato della chiave pubblica (base64 valido)
- ✅ Sintassi di separatori e valori
- ✅ Lunghezza e tipo di chiave (RSA 2048+ bit raccomandato)
Passaggio 3: Correggi e pubblica
Il report indica:
- Errori (rosso): Il record è inutilizzabile - correggi prima della pubblicazione
- Avvertimenti (arancione): Tecnicamente valido ma rischioso - da valutare
- Successo (verde): Pronto per la pubblicazione nella tua zona DNS
Cos'è un record DKIM?
Un record DKIM (DomainKeys Identified Mail) è un record TXT pubblicato nella tua zona DNS. Contiene la chiave pubblica che permette ai server destinatari di verificare la firma crittografica delle tue email.
Anatomia di un record DKIM:
| Tag | Obbligatorio | Descrizione | Esempio |
|---|---|---|---|
v | Sì | Versione del protocollo | v=DKIM1 |
k | Sì | Tipo di chiave | k=rsa o k=ed25519 |
p | Sì | Chiave pubblica in base64 | p=MIIBIjAN... |
h | No | Algoritmi di hash | h=sha256 |
t | No | Flag (test, strict) | t=y o t=s |
s | No | Servizi autorizzati | s=email |
Esempio completo:
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAu5oI...
Errori di sintassi frequenti
Il validatore rileva automaticamente questi problemi comuni:
1. Chiave pubblica troncata
Sintomo: Errore invalid_p_base64 o public_key_parse_error
Causa: La chiave è stata tagliata durante il copia-incolla (limite di caratteri, interruzione di riga gestita male).
Soluzione: Recupera la chiave completa dalla fonte. Una chiave RSA a 2048 bit ha circa 400 caratteri in base64.
2. Virgolette residue
Sintomo: Errore record_trailing_quote o invalid_tag_syntax
Causa: Il valore copiato contiene virgolette (") o virgolette tipografiche ("").
Soluzione: Rimuovi tutte le virgolette prima di incollare il valore.
3. Tag versione mancante
Sintomo: Errore missing_version_tag
Causa: Il record non inizia con v=DKIM1.
Soluzione: Aggiungi v=DKIM1; all'inizio del record.
4. Chiave RSA troppo corta
Sintomo: Avvertimento weak_key_length
Causa: Chiave RSA inferiore a 2048 bit (spesso 1024 bit).
Soluzione: Genera una nuova coppia di chiavi con almeno 2048 bit.
5. Separatori errati
Sintomo: Errore invalid_tag_syntax
Causa: Punti e virgola multipli (;;), spazi fuori posto o caratteri speciali.
Soluzione: Usa un singolo ; tra ogni tag, senza spazio prima del separatore.
Differenza tra verifica sintassi e ispezione DNS
| Aspetto | Validatore di sintassi | Ispettore del record |
|---|---|---|
| Metodo | Analisi locale del valore | Query DNS reale |
| Quando usarlo | Prima della pubblicazione | Dopo la pubblicazione |
| Cosa verifica | Formato, tag, struttura | Propagazione, risoluzione, allineamento DMARC |
| Input | Valore DKIM copiato | Dominio + selettore |
Workflow raccomandato:
- Sintassi: Valida il valore con questo validatore
- Pubblicazione: Aggiungi il record TXT alla tua zona DNS
- Ispezione: Usa l'Ispettore DKIM per confermare la propagazione
Best practice DKIM
Generazione delle chiavi
- Usa RSA 2048 bit minimo (4096 bit per massima sicurezza)
- Ed25519 sta emergendo ma resta poco supportato dai destinatari
- Conserva la chiave privata in modo sicuro (mai nel DNS!)
Naming del selettore
- Scegli un nome breve e unico:
google,mailchimp,s1,2024 - Il selettore completo sarà:
selettore._domainkey.captaindns.com - Usa nomi diversi per provider per facilitare le rotazioni
TTL raccomandato
- 300-600 secondi durante il deployment (propagazione rapida)
- 3600-86400 secondi una volta stabile (meno query DNS)
- TTL breve facilita le revoche d'emergenza
Rotazione regolare
- Pianifica una rotazione annuale minimo
- Documenta il responsabile e la data dell'ultima rotazione
- Mantieni il vecchio selettore per qualche giorno dopo la rotazione
FAQ - Domande frequenti
D: Qual è la differenza tra questo validatore e l'ispettore DKIM?
R: Il validatore di sintassi analizza un valore che incolli per rilevare errori di formato prima della pubblicazione. L'ispettore del record esegue una query DNS reale per verificare un record già pubblicato. Usa prima la sintassi, poi l'ispettore.
D: Perché la mia chiave è segnalata come "troppo corta"?
R: Le chiavi RSA inferiori a 2048 bit sono considerate deboli. Gmail e altri provider possono rifiutare firme con chiavi a 1024 bit. Genera una nuova coppia di chiavi con almeno 2048 bit.
D: Devo includere le virgolette nel valore?
R: No. Le virgolette vengono talvolta aggiunte dalle interfacce di gestione DNS per delimitare stringhe lunghe, ma non fanno parte del valore DKIM stesso. Rimuovile prima di validare.
D: Il mio ESP dice che DKIM è configurato, ma la sintassi fallisce qui. Perché?
R: Gli ESP spesso validano la loro configurazione interna, non necessariamente ciò che hai copiato. Verifica di aver copiato il valore completo senza troncamento e senza virgolette di incapsulamento.
D: Ed25519 è supportato?
R: Sì, il validatore riconosce le chiavi Ed25519 (k=ed25519). Tuttavia, il supporto lato destinatario resta limitato. RSA 2048 bit rimane la scelta più compatibile.
D: Come faccio a sapere quale selettore usare?
R: Il selettore viene scelto durante la configurazione DKIM sul tuo server o ESP. Consulta la documentazione del tuo provider. I selettori comuni includono: google, selector1, selector2, s1, default, mail.
Strumenti complementari
| Strumento | Utilizzo |
|---|---|
| Ispettore DKIM | Verificare un record DKIM già pubblicato nel DNS |
| Ispettore SPF | Validare il tuo record SPF |
| Ispettore DMARC | Configurare e testare la tua policy DMARC |
| Analizzatore header email | Diagnosticare errori di autenticazione su email ricevute |
Risorse utili
- RFC 6376 - DKIM Signatures (specifica ufficiale DKIM)
- Google - Configurare DKIM (guida Google Workspace)
- Microsoft - DKIM in Exchange Online (guida Microsoft 365)