Desenvolvedor
Suíte de Autenticação de E-mail

DNS DKIM TXT Record Builder & Selector Helper

Gere registros DNS DKIM TXT compatíveis com a RFC 6376 com seletor, formatação de chave pública (v=DKIM1; k=rsa; p=...), divisão de 255 caracteres e validação.

Privacidade 100% no cliente
RFC 1035 255-Byte Safe
Predefinições:
Nome do Host DNS:google._domainkey.example.com
RSA 1024-bit (Legacy / Deprecated)
Parâmetros Avançados RFC 6376
Algoritmo: rsaBits: 1024Caracteres chave: 332
Status: ACTIVE
Tipo de Registro
TXT
Host / Nome
google._domainkey
TTL (Tempo de Vida)
3600 segundos
Valor do Registro TXT (Completo sem divisão):352 caracteres
v=DKIM1; s=email; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA3Q2kZ4+jX6s1aL9mB/8uI7fUvX1Q2W3E4R5T6Y7U8I9O0P1A2S3D4F5G6H7J8K9L0M1N2O3P4Q5R6S7T8U9V0W1X2Y3Z4a5b6c7d8e9f0g1h2i3j4k5l6m7n8o9p0q1r2s3t4u5v6w7x8y9z0A1B2C3D4E5F6G7H8I9J0K1L2M3N4O5P6Q7R8S9T0U1V2W3X4Y5Z6a7b8c9d0e1f2g3h4i5j6k7l8m9n0o1p2q3r4s5t6u7v8w9x0y1z2A3B4C5D6E7F8G9H0I1J2K3L4M5N6O7P8QIDAQAB
Detalhamento de Tags RFC 6376
TagValor
v=DKIM1
k=rsa
p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A...
s=email
Tamanho do Registro: 352 bytesChunks: 2TTL: 3600s
RFC 6376 Compliant
Selector FQDN
google._domainkey.example.com
Destino da consulta para relays de e-mail
Algoritmo
RSA 1024-bit
RSA 1024-bit (Legacy / Deprecated)
RFC 6376 Compliance
Válido e Verificado
2 strings chunked (<255B)

Execução Local Zero-Knowledge

Todo o processamento, análise e geração de código ocorrem estritamente na memória do seu navegador. Zero uploads para servidores externos.

Motor Reativo de Submilissegundos

All data payloads remain strictly local with zero external server communication.

Production Ready Export

Clean, optimized output formats ready for immediate deployment.

Referência técnica e guia de arquitetura

Guia do Desenvolvedor: Gerador de Registros DNS DKIM TXT e Seletores — Guia de referência

Gere registros DNS DKIM TXT compatíveis com a RFC 6376 com seletor, formatação de chave pública (v=DKIM1; k=rsa; p=...), divisão de 255 caracteres e validação.

Parâmetros principais e controles

Seletor (s)String (Alfanumérico/Hífen)

Prefixo que compõe o subdomínio DNS em <selector>._domainkey.<dominio>. Permite coexistir múltiplas chaves criptográficas para rotação segura e provedores terceiros de envio.

Padrão: default
Chave Pública (p)String Base64

Chave pública RSA ou Ed25519 no formato ASN.1 DER SubjectPublicKeyInfo em Base64. Remova cabeçalhos PEM (-----BEGIN/END PUBLIC KEY-----) e quebras de linha. O valor vazio (p=) revoga formalmente a chave.

Padrão: MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...
Algoritmo de Chave (k)Enum (rsa | ed25519)

Algoritmo assimétrico de assinatura. 'rsa' possui suporte universal em todos os servidores MTA mundiais; 'ed25519' (RFC 8463) produz assinaturas compactas com alto desempenho computacional.

Padrão: rsa
Flags de Operação (t)Flags (y | s | y:s | Nenhuma)

Flags de controle de validação. 'y' indica modo de teste (servidores receptores não devem rejeitar falhas); 's' impede que a assinatura seja utilizada por subdomínios, exigindo domínio idêntico.

Padrão: Nenhuma
Tipo de Serviço (s)Enum (* | email)

Restringe o escopo de uso da chave. 'email' restringe a chave a assinaturas de correio eletrônico, enquanto '*' habilita todos os serviços.

Padrão: *

Dicas profissionais e melhores práticas

A especificação DNS limita strings de

A especificação DNS limita strings de texto individuais a 255 octetos. Uma chave RSA de 2048 bits gera cerca de 392 caracteres Base64. Em arquivos de zona BIND, envolva o registro em parênteses e divida a string em duas partes com aspas duplas: ("v=DKIM1; k=rsa; p=primeira_parte..." "segunda_parte..."). Plataformas modernas (Cloudflare, Route 53) realizam a divisão automaticamente.

Diretrizes de segurança do Google

Diretrizes de segurança do Google, Yahoo e consórcio M3AAWG exigem chaves DKIM de no mínimo 2048 bits. Chaves de 1024 bits são suscetíveis a ataques modernos de fatoração. Evite chaves de 4096 bits sem necessidade estrita, pois o pacote DNS pode exceder 512 bytes em UDP, exigindo fallback via TCP.

Nunca altere uma chave ativa

Nunca altere uma chave ativa diretamente. Crie um novo par de chaves com um seletor temporal (ex.: 2026q4), publique o registro DNS TXT, valide a propagação via dig, alterne o MTA para assinar com 2026q4 e mantenha o seletor antigo ativo por 7 a 14 dias para validar mensagens ainda em trânsito.

Caso sua chave privada seja

Caso sua chave privada seja comprometida, não delete simplesmente a entrada DNS. Publique imediatamente o registro 'v=DKIM1; p=' sob o respectivo seletor para instruir explicitamente os servidores de destino a recusarem assinaturas associadas a este seletor.

Problemas comuns e solução de problemas

Servidor de destino reporta 'dkim=fail (bad signature)' ou chave não encontrada

Verifique se o registro foi publicado exatamente como <selector>._domainkey.<dominio> (a string '._domainkey' é mandatória). Certifique-se de que os cabeçalhos PEM ('-----BEGIN PUBLIC KEY-----'), quebras de linha (\r, \n) e espaços em branco foram completamente removidos de p=.

Painel DNS recusa o registro com erro de sintaxe ou limite de 255 caracteres excedido

Se o seu provedor DNS não suporta a quebra automática de strings com mais de 255 bytes, formate o valor entre parênteses dividindo-o em duas strings entre aspas, ou migre a zona para um provedor com suporte a fragmentação nativa.

DKIM passa no teste isolado, mas o relatório DMARC acusa falha de alinhamento

O alinhamento DMARC exige que o domínio informado na tag d= da assinatura DKIM coincida com o domínio visível no cabeçalho 'From:'. Em serviços de envio em massa (SendGrid, Postmark), configure DKIM com domínio customizado via CNAME em vez de usar o domínio compartilhado do provedor.

Perguntas frequentes (FAQ)

Qual é a diferença fundamental entre DKIM, SPF e DMARC?▼

O SPF valida se o IP remetente tem autorização para emitir mensagens em nome do domínio técnico (Return-Path). O DKIM confere integridade criptográfica assinando cabeçalhos e corpo da mensagem contra adulterações. O DMARC consolida essas validações, avalia o alinhamento com o endereço From exibido ao usuário e determina a política de tratamento (none, quarantine, reject).

Por que a especificação do DKIM exige o uso de um seletor?▼

O seletor define um namespace de subdomínio (_domainkey), permitindo que um único domínio hospede múltiplas chaves criptográficas independentes. Isso viabiliza rotinas seguras de rotação de chaves e delegação de envios a ferramentas distintas (Google Workspace, marketing, transacional) sem compartilhamento de chaves privadas.

Como dividir uma chave pública RSA de 2048 bits nos limites de strings DNS TXT?▼

Pelo RFC 1035, cada segmento de string de um registro TXT não pode exceder 255 bytes. Para publicar uma chave de 2048 bits (~392 caracteres Base64), divida o valor em duas strings consecutivas entre aspas: ("v=DKIM1; k=rsa; p=PARTE_1..." "PARTE_2..."). Os servidores DNS de consulta concatenam esses blocos de forma contínua e sem espaços.

É possível utilizar chaves Ed25519 no lugar de RSA para DKIM?▼

Sim, a RFC 8463 padroniza o uso de chaves em curva elíptica Ed25519 para DKIM. A chave pública possui apenas 44 caracteres em Base64 e cabe com folga no limite de 255 bytes. Todavia, como alguns sistemas legados de e-mail corporativo não suportam Ed25519, o padrão de mercado ainda é RSA de 2048 bits ou assinatura dupla (RSA + Ed25519).

Como verificar se o registro DKIM foi propagado corretamente nos servidores DNS?▼

Utilize no terminal o comando 'dig TXT <selector>._domainkey.<dominio> +short' ou 'nslookup -type=TXT <selector>._domainkey.<dominio>'. Para validar o fluxo completo, envie um e-mail de teste para o Gmail e inspecione o cabeçalho original em busca de 'Authentication-Results: dkim=pass'.

Ferramentas e utilitários relacionados

Todas as ferramentas →
Guia do Desenvolvedor: Gerador de Políticas MTA-STS e Registros DNS TLS-RPTSegurança

Documentação técnica completa e boas práticas para geração de arquivos de política RFC 8461 MTA-STS, registros DNS TXT _mta-sts e relatórios RFC 8460 TLS-RPT.

Abrir ferramenta→
Decodificador e Inspetor de Segurança de Tokens JWTSegurança

Utilitário para desenvolvedores para decodificar JSON Web Tokens no navegador, inspecionar claims RFC 7519 e OIDC, auditar prazos de expiração e verificar assinaturas HMAC localmente.

Abrir ferramenta→
Gerador Criptográfico de Senhas e Frases-ChaveSegurança

Gere senhas seguras de alta entropia, frases-passe memoráveis (Diceware), códigos PIN e tokens de API com a Web Crypto API CSPRNG nativa em conformidade com o NIST SP 800-63B.

Abrir ferramenta→
Gerador de Hashes Criptográficos e Verificador de ChecksumSegurança

Calcule instantaneamente hashes SHA-256, SHA-512, MD5, SHA-1, SHA-3, Keccak e CRC32 localmente no navegador com segurança Web Crypto API 100% privada.

Abrir ferramenta→
Depurador e Verificador de Assinaturas JSON Web Token (JWT)Segurança

Decodifique, inspecione e verifique assinaturas HMAC (HS256/384/512) e RSA (RS256/384/512) 100% localmente no navegador via Web Crypto API.

Abrir ferramenta→
Verificador de Força de Senha ReferênciaSegurança

Guia técnico para análise de força de senhas, cálculo de entropia e estimativa de tempo de quebra via navegador.

Abrir ferramenta→