O que é DKIM?
DKIM, sigla de DomainKeys Identified Mail (em tradução livre, “correio identificado por chaves de domínio”), é um protocolo de autenticação de e-mail baseado em criptografia. O DKIM anexa uma assinatura digital invisível ao cabeçalho de cada mensagem, e essa assinatura prova duas coisas: que o e-mail saiu de um servidor autorizado pelo dono do domínio e que o conteúdo chegou sem alterações.
O mecanismo usa um par de chaves criptográficas. A chave privada fica no servidor de envio e assina cada mensagem. A chave pública fica publicada no DNS do domínio, disponível para qualquer provedor conferir a assinatura.
Junto com SPF e DMARC, o DKIM forma o conjunto de autenticação que os grandes provedores exigem de remetentes em volume. Sem DKIM válido, suas campanhas perdem pontos com o filtro de spam e a entregabilidade sofre.
Como funciona na prática?
O fluxo acontece em quatro etapas, todas automáticas depois da configuração inicial:
- Assinatura: no envio, o servidor gera um resumo criptográfico do conteúdo e de cabeçalhos selecionados, assina com a chave privada e insere o resultado no cabeçalho
DKIM-Signature. - Consulta: o provedor que recebe a mensagem lê o seletor indicado na assinatura e busca a chave pública correspondente no DNS do seu domínio.
- Verificação: o provedor recalcula o resumo da mensagem e confere se bate com a assinatura. Qualquer alteração no conteúdo quebra a verificação.
- Decisão: o resultado (pass ou fail) alimenta a política de DMARC e a avaliação de reputação do remetente.
Para configurar, você gera o par de chaves na sua plataforma de envio, publica o registro TXT com a chave pública no DNS e ativa a assinatura. As plataformas costumam fornecer o registro pronto para copiar e colar.
DKIM vs SPF: qual a diferença?
| Aspecto | DKIM | SPF |
|---|---|---|
| O que valida | Assinatura e integridade do conteúdo | Servidor autorizado a enviar |
| Mecanismo | Criptografia de chave pública | Lista de IPs em registro DNS |
| Sobrevive a encaminhamento | Sim, a assinatura viaja junto | Não, o servidor muda no reenvio |
| Detecta conteúdo adulterado | Sim | Não |
Veredito: o DKIM garante autoria e integridade da mensagem, o SPF garante o servidor de origem, e você precisa dos dois sob uma política DMARC.
Exemplos de uso
- Uma fintech configura DKIM em todos os e-mails transacionais. Quando um golpista tenta enviar boletos falsos em nome do domínio, as mensagens falham na verificação e são bloqueadas pelos provedores.
- Uma loja virtual troca de plataforma e gera novas chaves DKIM no novo serviço. As campanhas seguem autenticadas sem interrupção porque a equipe publicou o registro antes do primeiro disparo.
Erros comuns
- Ativar a assinatura na plataforma sem publicar a chave pública no DNS.
- Deixar chaves antigas ativas depois de migrar de ferramenta.
- Usar chaves curtas demais, consideradas fracas pelos provedores atuais.
- Alterar o registro TXT com erros de cópia, quebrando a chave.
Perguntas frequentes sobre DKIM
Como sei se o DKIM está funcionando no meu domínio?
Envie uma mensagem de teste para uma conta sua no Gmail e abra a opção de exibir o original. A linha “dkim=pass” ao lado do seu domínio confirma que a assinatura foi validada. Verificadores gratuitos na web também mostram o status de DKIM, SPF e DMARC de uma vez.
DKIM impede que meus e-mails caiam no spam?
O DKIM é uma condição necessária que sozinha resolve parte do caminho. A autenticação remove uma barreira importante, e os provedores ainda pesam reputação, reclamações e engajamento. Pense no DKIM como documento de identidade: ele prova quem você é, e o seu comportamento define a confiança.
Preciso entender criptografia para configurar DKIM?
Não. As plataformas de e-mail marketing e os provedores de hospedagem geram as chaves automaticamente e entregam o registro pronto. Seu trabalho se resume a copiar o registro TXT, publicar no painel de DNS do domínio e confirmar a validação na plataforma, o que costuma levar poucos minutos.