Chiave DKIM troppo corta (1024 bit) e come sostituirla

Cosa significa

DKIM firma ogni email con una chiave privata conservata sul server di invio. La chiave pubblica corrispondente è pubblicata nel tuo DNS. Più la chiave è lunga, più è difficile falsificare la tua firma. Le chiavi a 1024 bit sono state lo standard per anni, ma oggi la dimensione consigliata è 2048 bit. Le chiavi a 512 o 768 bit sono considerate violate e molti destinatari le ignorano.

"Ruotare" una chiave significa sostituirla con una nuova: è una buona pratica da fare ogni tanto, ed è urgente se la chiave privata potrebbe essere trapelata.

Perché è importante

• Una chiave debole può, in teoria, essere violata, permettendo a qualcuno di firmare email a nome del tuo dominio.
• Alcuni destinatari e audit di sicurezza segnalano le chiavi a 1024 bit.
• Una chiave usata da molti anni, o che si trovava su un server che non controlli più, va sostituita.

Come verificare

Invia un'email di test al tuo indirizzo nella home page (/). La sezione DKIM mostra il selettore usato (il valore s=) e se la firma passa. Puoi anche analizzare il tuo dominio su /domain-scanner. Una chiave pubblica a 2048 bit nel DNS è molto più lunga di una a 1024 bit: circa 400 caratteri.

Come risolvere

Il metodo sicuro è usare un nuovo selettore, così la vecchia e la nuova chiave esistono fianco a fianco durante il passaggio.

Con un provider di posta

• Google Workspace: nelle impostazioni DKIM della Console di amministrazione, genera un nuovo record e scegli 2048 bit. Pubblicalo, aspetta il DNS, poi riavvia l'autenticazione con la nuova chiave.
• Microsoft 365: i nuovi domini usano chiavi a 2048 bit. Microsoft può ruotare le chiavi per te dalle impostazioni DKIM del portale Defender, usando i suoi due selettori.
• Strumenti di newsletter: la maggior parte gestisce da sola la dimensione della chiave. Controlla la loro documentazione se il tuo test mostra una chiave corta.

Con il tuo server (OpenDKIM)

1. Crea una chiave con un nuovo selettore, per esempio chiamato con la data:

   opendkim-genkey -b 2048 -d yourdomain.com -s 2025a

2. Pubblica la chiave pubblica presa da 2025a.txt come record TXT su 2025a._domainkey.yourdomain.com. Alcuni pannelli DNS richiedono che i valori lunghi siano divisi in più parti tra virgolette di 255 caratteri al massimo; la maggior parte dei pannelli lo fa per te.
3. Aspetta che il nuovo record sia visibile ovunque, almeno qualche ora.
4. Passa la firma alla nuova chiave e al nuovo selettore nella configurazione di OpenDKIM, poi riavvia OpenDKIM.
5. Tieni il vecchio record per circa una settimana, così le email firmate poco prima del passaggio possono ancora essere verificate.
6. Rimuovi il vecchio record dal DNS, o sostituiscilo con una chiave vuota (v=DKIM1; p=) per indicare che è revocata.

Buone abitudini

• Ruota le chiavi ogni sei-dodici mesi.
• Rendi le chiavi private leggibili solo dal servizio di firma.
• Ruota subito se un server che conteneva la chiave è stato compromesso.

Verifica che sia risolto

Invia un nuovo test dalla home page. La sezione DKIM deve mostrare il nuovo selettore e una firma che passa. Usa /domain-scanner per confermare che il nuovo record è pubblicato, e controlla dopo una settimana che il vecchio sia stato rimosso.