Cos'è DKIM
DKIM (DomainKeys Identified Mail) è uno standard di autenticazione email che firma digitalmente i messaggi in uscita con una chiave privata. Il server ricevente verifica la firma tramite la chiave pubblica pubblicata in DNS. La rotazione periodica delle chiavi è una best practice di sicurezza per limitare l'esposizione in caso di compromissione.
Perché ruotare le chiavi
Le chiavi DKIM, come tutte le chiavi crittografiche, possono essere compromesse: accessi non autorizzati al sistema, errori di gestione, attacchi crittografici futuri. La rotazione periodica limita la finestra di esposizione e segue il principio di least exposure. RFC 6376 raccomanda rotation almeno annuale, NIST suggerisce ogni 6 mesi.
Lunghezza consigliata
La lunghezza minima accettata oggi è 1024 bit, ma è raccomandato usare 2048 bit. Chiavi 1024 sono ancora valide ma considerate deboli rispetto agli standard moderni. Chiavi a 4096 bit sono supportate ma alcune implementazioni DNS limitano i record TXT, richiedendo split in più stringhe.
Selector multipli
DKIM utilizza il concetto di selector: prefisso DNS che permette di gestire più chiavi per dominio. Esempio: selector1._domainkey.example.com e selector2._domainkey.example.com. Avere selector multipli permette rotation senza downtime: si pubblica nuovo selector, si attende propagazione, si sposta il signing, si disattiva il vecchio.
Procedura step-by-step
Step 1: generare nuova coppia chiave privata/pubblica con tool come opendkim-genkey. Step 2: pubblicare nuova chiave pubblica in DNS con nuovo selector (es. 2026q1._domainkey). Step 3: attendere propagazione DNS (24h). Step 4: aggiornare configurazione MTA per firmare con nuovo selector. Step 5: monitorare verifica firme su email inviate. Step 6: mantenere vecchio selector per 30-60 giorni (email già inviate possono essere ancora verificate). Step 7: rimuovere selector obsoleto.
Test e validazione
Prima di switch in produzione, testare con strumenti come dkimvalidator.com, mail-tester.com o mxtoolbox dkim check. Inviare email di test verso Gmail e verificare header Authentication-Results che indica dkim=pass. Errori comuni: typo nel record TXT, chiave troppo lunga splittata male, mismatch tra selector configurato e DNS.
Automazione della rotation
Tool come OpenDKIM, Rspamd, amavisd permettono configurazione di selector multipli con switch programmati. Servizi cloud (SendGrid, Mailgun, AWS SES) offrono rotation automatica via API. Per ambienti enterprise, integrare nella pipeline di security key management.
Best practice DMARC
Quando si ruotano chiavi DKIM verificare anche allineamento DMARC: il dominio della firma DKIM deve essere allineato al dominio From per garantire DMARC pass. Monitorare report DMARC aggregati per intercettare problemi di allineamento causati da rotation mal eseguita.
Hai bisogno di aiuto?
Se hai problemi di blacklist o deliverability email, il team di G Tech Group può aiutarti. Contattaci tramite il modulo di contatto.