Chiave DKIM lunga nel DNS: record TXT divisi in più stringhe

Cosa significa

Un record DKIM contiene una chiave pubblica, un lungo blocco di lettere e numeri. Una chiave a 2048 bit, la dimensione consigliata oggi, è lunga circa 400 caratteri.

Il DNS ha una regola: una singola stringa di testo in un record TXT può contenere al massimo 255 caratteri. Un valore più lungo va salvato come più stringhe, una dopo l'altra, all'interno dello stesso record. I destinatari le riuniscono senza aggiungere nulla in mezzo.

google._domainkey  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqh...first part" "...second part...IDAQAB"

Perché è importante

Se la chiave è tagliata, ha uno spazio in più, o è divisa in due record separati, il destinatario riceve una chiave sbagliata. Ogni firma DKIM allora fallisce, e DMARC può fallire con essa. L'email a te sembra a posto, ma ottiene risultati peggiori ovunque.

Come verificare

• Invia un'email di test dalla home page di Delivmail. Il report mostra DKIM "fail" o un errore di chiave anche se il tuo provider dice che DKIM è attivo.
• Usa lo Scanner di dominio su /domain-scanner per guardare i tuoi record DNS.
• Guarda il record grezzo:

  dig TXT google._domainkey.yourdomain.com

  Sostituisci google con il tuo selettore. Dovresti vedere un solo record, eventualmente con più parti tra virgolette.

Come risolvere

1. Copia di nuovo la chiave dalla pagina di amministrazione del tuo provider (per esempio la Console di amministrazione Google per Google Workspace). Copia l'intero valore, da v=DKIM1 fino alla fine.
2. Prova a incollarla come un unico valore. Molti provider DNS (Cloudflare, OVH e altri) accettano un valore lungo e lo dividono per te.
3. Se il pannello lo rifiuta, dividila tu in parti di meno di 255 caratteri, ciascuna tra virgolette doppie, separate da uno spazio:

   "v=DKIM1; k=rsa; p=MIIBIjANBg...(about 200 characters)" "...rest of the key"

   Lo spazio tra le parti tra virgolette viene ignorato. Gli spazi dentro le virgolette no.
4. Tienila in un solo record. Due record TXT separati con mezza chiave ciascuno non funzionano.
5. Salva e aspetta qualche minuto, poi rifai il test.

Errori comuni

• Un a capo o uno spazio copiato in mezzo alla chiave.
• La chiave tagliata a 255 caratteri dal pannello DNS, con la parte finale persa.
• Virgolette dentro le virgolette, come ""v=DKIM1..."".
• La parte p= mancante o vuota: una chiave vuota significa "questa chiave è revocata".

Ultima risorsa

Se il tuo provider DNS non riesce proprio a salvare record lunghi, valuta di spostare il tuo DNS presso un provider migliore. Alcuni servizi email permettono anche di scegliere una chiave a 1024 bit, che sta in una sola stringa, ma è più debole e dovrebbe essere solo temporanea.

Verifica che sia risolto

Il comando dig deve mostrare un solo record il cui valore riunito corrisponde esattamente alla chiave del tuo provider. Poi invia una nuova email di test dalla home page: DKIM deve passare per il tuo dominio.