delivmail
tutte le guide

// come risolvere

DKIM con record CNAME: selettori delegati (Microsoft 365, SendGrid…)

DKIMDNSMicrosoft 365

Molti provider chiedono DKIM come record CNAME invece di una chiave TXT. Ecco come funzionano e gli errori che li rompono.

Cosa significa

Una chiave DKIM è di solito un lungo record TXT pubblicato su un nome come selector._domainkey.yourdomain.com. Molti provider, come Microsoft 365, SendGrid, Mailchimp o Amazon SES, ti chiedono invece di aggiungere un record CNAME su quel nome.

Un CNAME è un rimando. Dice "la risposta è là, sul dominio del provider". Il provider pubblica poi la vera chiave dalla sua parte. Si chiama selettore delegato. Il grande vantaggio: il provider può cambiare (ruotare) la chiave senza che tu tocchi il tuo DNS.

Esempi tipici:

selector1._domainkey.yourdomain.com  CNAME  (value shown in Microsoft 365)
selector2._domainkey.yourdomain.com  CNAME  (value shown in Microsoft 365)
s1._domainkey.yourdomain.com         CNAME  s1.domainkey.u1234.wl.sendgrid.net

Perché è importante

  • Se il CNAME è sbagliato, i destinatari non trovano nessuna chiave e DKIM fallisce, anche se il provider firma correttamente.
  • Microsoft 365 e altri strumenti si rifiutano di attivare la firma DKIM finché non vedono i tuoi CNAME.
  • Senza una firma DKIM allineata, DMARC dipende solo da SPF, che si rompe con l'inoltro.

Come verificare

Delivmail lo verifica per te in due modi:

  • Invia un'email di test: nella home page (/) copia il tuo indirizzo di test unico, inviagli una normale email dalla casella o dallo strumento che vuoi verificare, poi apri il report.
  • Usa lo Scanner di dominio: inserisci il tuo dominio su /domain-scanner per leggere i tuoi record SPF, DMARC e MX senza inviare nulla.

Nel report, la riga DKIM mostra quale dominio ha firmato (d=) e se la chiave è stata trovata.

Come risolvere

  1. Copia i valori esatti dal tuo provider. Non indovinarli: i valori di Microsoft 365 contengono il tuo dominio e il nome del tenant, quelli di SendGrid il numero del tuo account.
  2. Crea record CNAME, non TXT. Se esiste già un record TXT con lo stesso nome, cancellalo: un nome non può contenere un CNAME e un altro record nello stesso momento.
  3. Controlla il campo nome. Molti pannelli DNS aggiungono il tuo dominio in automatico. Scrivi selector1._domainkey, non il nome completo, altrimenti ottieni selector1._domainkey.yourdomain.com.yourdomain.com.
  4. Disattiva il proxy. Su Cloudflare, imposta i CNAME DKIM su "DNS only" (nuvola grigia). Un record in proxy non restituisce la chiave.
  5. Aggiungi tutti i record richiesti. Microsoft 365 usa due selettori e passa dall'uno all'altro quando ruota le chiavi. Se ne aggiungi solo uno, DKIM si rompe alla rotazione successiva.
  6. Attiva la firma nel provider. In Microsoft 365, DKIM va attivato per il tuo dominio nel portale Defender dopo che i CNAME sono visibili. Altri strumenti hanno un pulsante "Verify".

Prova tu stesso il CNAME

Su un computer, esegui:

nslookup -type=TXT selector1._domainkey.yourdomain.com

Devi vedere il CNAME seguito dalla chiave (v=DKIM1; k=rsa; p=...). Nessuna risposta significa che il CNAME manca o è scritto male.

Verifica che sia risolto

Le modifiche DNS possono richiedere da pochi minuti a 48 ore. Quando il provider conferma i record, invia una nuova email a un nuovo indirizzo di test Delivmail. Il report deve mostrare DKIM che passa con d=yourdomain.com, e DMARC che passa.

Aiuto ufficiale: guida DKIM di Microsoft 365.

Verifica che sia risolto

Una modifica DNS può richiedere da pochi minuti a qualche ora. Poi invia una nuova email di test o scansiona di nuovo il tuo dominio.

Testa un'email Scansiona un dominio

Guide correlate