La firma DKIM fallisce (firma o body hash non validi)

Cosa significa

La tua email ha una firma DKIM, ma quando il destinatario la verifica, non corrisponde. Ci sono due tipi principali di errore:

• Firma non valida o chiave non trovata: la chiave pubblica nel tuo DNS manca, è sbagliata o non corrisponde alla chiave privata usata per firmare.
• Body hash non verificato: la chiave va bene, ma il contenuto dell'email è stato modificato dopo la firma. Anche una sola riga aggiunta rompe la firma.

Perché è importante

Una firma fallita vale come nessuna firma, e a volte è peggio: può sembrare che l'email sia stata manomessa. Se anche SPF non è superato per il tuo dominio, DMARC fallisce e l'email può finire nello spam o essere rifiutata.

Come verificare

Delivmail lo verifica per te in due modi:

• Invia un'email di test: nella home page copia il tuo indirizzo di test unico, inviagli una normale email dalla casella che vuoi verificare, poi apri il report. La riga DKIM mostra il dominio di firma e il risultato, per esempio "d=yourdomain.com: fail".
• Usa lo Scanner di dominio: inserisci il tuo dominio su /domain-scanner per leggere i tuoi record DNS senza inviare nulla.

Annota il selettore usato (per esempio google, selector1, s1). Inseriscilo nello Scanner di dominio per vedere la chiave pubblicata con quel nome.

Come risolvere un problema di chiave

1. Verifica che la chiave esista su selector._domainkey.yourdomain.com. Se lo scanner non trova nulla, il record manca o ha il nome sbagliato.
2. Controlla il nome. Molti provider DNS aggiungono il tuo dominio in automatico. Inserisci selector._domainkey, non il nome completo, altrimenti ottieni selector._domainkey.yourdomain.com.yourdomain.com.
3. Controlla che il valore sia completo. Le chiavi lunghe si tagliano facilmente, o si rovinano con spazi o virgolette in più. Copia di nuovo il valore dal tuo provider, tutto in una volta.
4. Controlla che sia la chiave attuale. Se hai rigenerato DKIM nel tuo provider, il vecchio valore DNS non funziona più. Pubblica quello nuovo.

Un record TXT DKIM corretto ha questo aspetto:

s1._domainkey.yourdomain.com  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."

Con Microsoft 365, i record sono CNAME che puntano a Microsoft. Copiali esattamente come vengono mostrati nel portale Defender e non sostituirli con record TXT.

Come risolvere un problema di body hash

Qualcosa ha modificato la tua email tra il momento della firma e quello dell'arrivo. Cause comuni:

• Un antivirus o un gateway di sicurezza che aggiunge un piè di pagina come "Controllato dall'antivirus".
• Un server o un relay che aggiunge un'avvertenza legale dopo la firma.
• Una mailing list o un gruppo che aggiunge un piè di pagina per disiscriversi o cambia l'oggetto.
• Il tuo server di posta che firma per primo, poi passa da un altro servizio che modifica il contenuto.

La soluzione è fare in modo che la firma avvenga per ultima, dopo ogni modifica. Sposta l'avvertenza o il piè di pagina prima della firma, oppure disattivali, oppure lascia che sia il servizio di invio finale a firmare.

Verifica che sia risolto

Le modifiche DNS non sono immediate. La maggior parte è visibile in pochi minuti, ma alcuni provider impiegano fino a 24-48 ore.

Invia una nuova email di test dalla home page, dalla stessa casella o dallo stesso strumento che ha fallito. Il report dovrebbe mostrare DKIM superato per il tuo dominio. Se fallisce solo uno strumento di invio, il problema riguarda la configurazione di quello strumento.