Validador de sintaxe DKIM

Compreender a sintaxe de um registo DKIM

DomainKeys Identified Mail (DKIM) adiciona uma assinatura digital às mensagens enviadas para que o destinatário confirme que provêm realmente da sua infraestrutura. A chave pública que permite a verificação é publicada num registo TXT. Nesta página explicamos como a sintaxe é interpretada e como o verificador utiliza os campos devolvidos pela API.

O que contém um registo TXT DKIM?

Um registo DKIM é uma lista de etiquetas separadas por ponto e vírgula. Cada etiqueta tem um nome curto, um sinal de igual e um valor. O validador remove espaços desnecessários, ignora a ordem e aceita linhas dobradas desde que a sintaxe se mantenha coerente.

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...

Etiquetas obrigatórias que deve publicar

• v – indicador de versão. DKIM1 é a única versão suportada atualmente.
• k – tipo de chave. RSA (rsa) continua a ser o padrão de facto. Ed25519 (ed25519) começa a surgir gradualmente.
• p – chave pública codificada em Base64. Remova aspas e espaços antes de a publicar.

Se alguma destas etiquetas faltar, estiver vazia ou mal formatada, a assinatura não poderá ser validada. A ferramenta assinala o problema específico para que regenere a chave ou corrija a entrada DNS.

Etiquetas opcionais para ajustar o comportamento

• h limita os algoritmos de hash aceites na validação (sha256 é o recomendado, sha1 está obsoleto).
• t ativa indicadores como y (modo teste) ou s (correspondência estrita com o seletor).
• s define os serviços para os quais a chave é válida. Em branco, aplica-se apenas a email.
• g restringe a chave a um utilizador ou subendereço específico quando necessário.
• n permite deixar notas operacionais ou de diagnóstico.

Pode omitir estas etiquetas se aceitar os valores por defeito. O verificador mostra-as na secção “Detalhes do registo” sempre que estiverem presentes, para confirmar o que o DNS devolverá.

Erros sintáticos frequentes detetados pelo validador

1. Valores copiados com aspas do fornecedor DNS. Remova aspas e quebras de linha antes de validar.
2. Aspas tipográficas ou pontos e vírgulas duplicados. O analisador espera aspas ASCII e um único ; entre etiquetas.
3. Etiquetas vazias ou com espaços. São tratadas como vazias e geram avisos ou erros conforme o campo.
4. Misturar versões ou tipos de chave. Mantenha v=DKIM1 e um único tipo de chave por registo.
5. Chaves públicas truncadas. Verifique se o bloco Base64 não foi cortado ao copiar ou por limites de comprimento.

Cada diagnóstico devolvido pela API surge na badge acima dos resultados. Erros significam que o registo não é utilizável; avisos apontam configurações arriscadas mas válidas.

Boas práticas antes de publicar o registo

• Gere o par de chaves num servidor de confiança ou no fornecedor de email e proteja bem a chave privada.
• Utilize um seletor curto e único para facilitar rotações (selector2024._domainkey.example.com).
• Ajuste o TTL à sua política de rotação. Um TTL curto acelera revogações de emergência; um TTL longo reduz o tráfego DNS quando o registo está estável.
• Documente quem gere o seletor e quando foi a última rotação.

Validar a cadeia final no verificador de sintaxe garante que o registo TXT será interpretado corretamente quando publicado. Complete a revisão com uma consulta DNS para confirmar a propagação e com relatórios DMARC para acompanhar a qualidade das assinaturas a longo prazo.