DKIM em Email Marketing: O Que É e Como Configurar

No post anterior, o SPF disse quem pode enviar em nome do domínio no envelope. Agora entra o DKIM (DomainKeys Identified Mail): a assinatura criptográfica que viaja com a mensagem.

Na prática, DKIM responde: “este conteúdo (ou partes dele) foi autorizado por quem controla este domínio — e não foi adulterado no caminho de um jeito óbvio.”

Sem DKIM, a autenticação moderna fica com buraco. Com DKIM torto, o header grita fail e a entregabilidade de email marketing sofre — mesmo com SPF passando.

Este é o post 4: o que é DKIM, como o DNS entra na história, os erros que mais aparecem e um checklist de validação. DMARC (post 5) é o que amarra SPF + DKIM numa política.

O que é DKIM (sem manual de RFC)

DKIM coloca um cabeçalho de assinatura no email. O remetente assina com uma chave privada; o DNS do domínio publica a chave pública num TXT (seletor).

Na chegada, o provedor:

1. Lê a assinatura DKIM no header.
2. Busca a chave pública no DNS (seletor._domainkey.dominio).
3. Confere se a assinatura bate com o conteúdo assinado.

Se bate → dkim=pass. Se não → fail / neutral / etc.

Diferente do SPF, DKIM costuma sobreviver melhor a encaminhamento, porque a prova vai na mensagem — não só na conexão SMTP original. Por isso o combo SPF + DKIM é o padrão.

Por que DKIM importa no email marketing

1. Integridade — reduz a chance de a mensagem ser tratada como adulterada.
2. Alinhamento de domínio — base pro DMARC (o domínio do From precisa alinhar com o da assinatura).
3. Sinal de operação séria — ESP moderno espera DKIM ligado no domínio de envio.
4. Complemento do SPF — SPF olha o caminho; DKIM olha a mensagem.

Se você só “passou o include do SPF” e pulou DKIM no painel do ESP, a autenticação ficou pela metade.

Anatomia rápida: seletor, chave e DNS

Peça	Função
Seletor	Nome que aponta qual chave usar (ex.: s1, google, k1)
Chave privada	Fica no ESP/servidor — nunca no DNS público
Chave pública	Vai no TXT: seletor._domainkey.seudominio.com
Header DKIM-Signature	Assinatura + quais campos foram assinados

Exemplo de nome DNS:

s1._domainkey.suaempresa.com.br

O valor TXT traz algo como v=DKIM1; k=rsa; p=MIGfMA0GCS... (a chave pública).

No marketing você quase nunca gera isso na mão: o ESP gera o par e te dá o TXT pra colar no DNS.

Como configurar DKIM no fluxo real (ESP)

1. No painel do ESP, abre autenticação de domínio / DKIM.
2. Escolhe o domínio (ou subdomínio) de envio — o mesmo do From.
3. Copia o registro TXT (às vezes CNAME, conforme o provedor).
4. Publica no DNS e espera propagar.
5. Clica em verificar no ESP.
6. Manda um email de teste e lê Authentication-Results: dkim=pass.

Google Workspace / Microsoft 365

Se também manda do corporativo, ativa DKIM no admin do Google/Microsoft além do ESP. Domínio com vários remetentes precisa de assinatura em cada caminho — senão o DMARC depois reclama.

Erros clássicos de DKIM

1. TXT cortado — chave longa quebrada no painel DNS; assinatura nunca valida.
2. Seletor errado — publicou s1 e o ESP assina com s2.
3. Domínio errado — From em news@ e chave só no apex (ou o contrário).
4. “Verified” no ESP, fail nos headers — confia nos headers do Gmail/Outlook, não só no check verde.
5. Rodou a chave e esqueceu o DNS — rotação sem publicar a nova pública = fail em massa.
6. Achar que DKIM sozinho tira do spam — lista suja e reclamação continuam matando inbox.
7. Assinatura só no transacional — campanha de marketing saindo por outro IP/ESP sem DKIM.

DKIM pass e ainda no spam?

Sim. Autenticação é ingresso, não camarote.

Depois do dkim=pass, olha:

• SPF e, em seguida, DMARC (próximo post)
• Reputação de domínio/IP
• Engajamento e higiene da lista
• Conteúdo e frequência

DKIM diz “a mensagem é consistente com o domínio”. Não diz “o destinatário quer receber”.

DKIM e alinhamento (por que o post de DMARC vai citar isso)

DMARC só “conta” o DKIM se houver alinhamento: o domínio da assinatura precisa combinar (strict ou relaxed) com o domínio do From que a pessoa vê.

Na operação:

• Prefira assinar com o mesmo domínio (ou subdomínio pai) do From.
• Evite From @suaempresa.com.br assinado só por um domínio genérico do ESP sem custom domain — muitos ESPs pedem justamente o DKIM custom pra resolver isso.
• Quando for escrever a política DMARC, você vai olhar dkim=pass e alinhamento. Guarda esse conceito.

Se o ESP oferece “DKIM default” vs “DKIM do seu domínio”, escolhe o do seu domínio pra email marketing de marca.

Checklist: esta semana

1. No ESP, DKIM está habilitado pro domínio de From?
2. O TXT/CNAME está no DNS certo (seletor._domainkey...)?
3. Verificação do painel + header real com dkim=pass.
4. Corporativo (Google/Microsoft) também assina, se envia por lá.
5. Anota o domínio alinhado — você vai precisar no DMARC.
6. Não dispara blast grande no meio de troca de chave.

FAQ

DKIM é obrigatório?

Na prática, sim. Junto com SPF, é o mínimo moderno; DMARC completa o trio.

Preciso entender criptografia?

Não. Precisa publicar o DNS certo e validar headers. A matemática fica com o ESP.

CNAME ou TXT?

Depende do provedor. Segue o que o ESP mostrar. O que importa é a chave pública resolvível no seletor certo.

DKIM substitui SPF?

Não. São camadas diferentes. DMARC usa um, o outro, ou os dois — com alinhamento.

Próximo passo

SPF autoriza o caminho. DKIM assina a mensagem. No próximo post: DMARC — a política que diz o que fazer quando a autenticação falha e como monitorar abuso do seu domínio.

Enquanto isso: uma assinatura válida no domínio de From, DNS publicado, dkim=pass nos headers. Sem isso, DMARC vira teatro.