Posso avere più record DKIM sullo stesso dominio?

Le organizzazioni moderne raramente inviano tutte le e-mail da un unico luogo. Le piattaforme di marketing, i sistemi di help desk, le suite di produttività e gli strumenti transazionali possono tutti inviare posta dallo stesso dominio. 

Questo solleva una domanda comune: è possibile pubblicare più record DKIM su un dominio? Sì, può e, in molti casi, dovrebbe farlo. La chiave è capire come funzionano i selettori e come gestirli in modo pulito in scala.

Che cos'è il DKIM?

DKIM, o DomainKeys Identified Mail, è un metodo di autenticazione delle e-mail che aiuta a verificare che un messaggio sia stato inviato da un dominio autorizzato e non sia stato alterato durante il transito.

Funziona aggiungendo una firma digitale alle e-mail in uscita. Il servizio di invio firma il messaggio con una chiave privata, e il server ricevente lo verifica utilizzando una chiave pubblica corrispondente pubblicata nel DNS.

Per le organizzazioni, DKIM aiuta a proteggere l'integrità dei messaggi, a rafforzare la fiducia nei domini e a sostenere le iniziative di sicurezza più ampie di . Funziona anche insieme a SPF e DMARC per migliorare i risultati dell'autenticazione.

Un record DKIM è la voce DNS che pubblica la chiave pubblica utilizzata per verificare la firma DKIM di un messaggio . In genere è pubblicato come record TXT sotto un sottodominio basato su un selettore, come ad esempio:

In questo esempio, selettore1 è il selettore DKIM, che indica al ricevitore quale chiave cercare. I selettori rendono possibile la pubblicazione di più record DKIM sullo stesso dominio, il che aiuta le organizzazioni a separare i servizi di invio, a ruotare le chiavi e a gestire l'autenticazione in modo più pulito.

Posso avere più record DKIM sullo stesso dominio?

Sì. Può tranquillamente pubblicare più record DKIM sullo stesso dominio, e questa è una configurazione normale per molte organizzazioni .

Il motivo per cui funziona è semplice: I record DKIM non si trovano tutti in un unico spazio dei nomi piatto. Ognuno di essi è legato a un diverso selettore , quindi ogni record risiede nella propria posizione DNS. Questa separazione evita il conflitto diretto.

Per esempio, un dominio potrebbe avere:

• mktg._domainkey.example.com
• support._domainkey.example.com
• spazio di lavoro._domainkey.example.com

Ognuno di questi è un record DKIM separato, anche se tutti appartengono allo stesso dominio.

Cosa conta come configurazione valida?

Una configurazione DKIM valida utilizza:

• Un selettore unico per servizio di invio o per caso d'uso.
• Una chiave pubblica per ogni selettore
• Una chiara mappatura tra il selettore e la piattaforma d'invio che lo utilizza.

Ciò che causa problemi è il fatto di non avere più record in generale. Il problema di solito inizia quando due sistemi diversi cercano di utilizzare lo stesso selettore, oppure quando esistono voci DNS duplicate per lo stesso selettore. Questo può creare fallimenti nella verifica di , risultati di ricerca DNS ambigui o autenticazione DKIM interrotta.

Quindi la regola sicura è che: I record DKIM multipli vanno bene se ognuno di essi utilizza un selettore unico.

Quando le organizzazioni possono utilizzare più record DKIM?

Molte organizzazioni hanno bisogno di più di un record DKIM, perché la moderna infrastruttura di posta elettronica è distribuita su molti strumenti e team.

Esempi comuni sono:

• Microsoft 365 per la posta dei dipendenti
• Google Workspace per la comunicazione aziendale
• Piattaforme di automazione del marketing
• Sistemi CRM
• Strumenti di supporto o di ticketing
• Sistemi di fatturazione o di posta transazionale

Questi servizi spesso inviano diversi tipi di e-mail dallo stesso dominio, o da domini multipli correlati, e ogni può richiedere la propria chiave DKIM.

Le organizzazioni possono anche separare i selettori in base al flusso di posta, come le e-mail transazionali, i messaggi e-mail di marketing, l'infrastruttura di invio regionale o le comunicazioni e-mail dei dirigenti o di alto livello. Questo ha un reale valore operativo, in quanto la separazione dei selettori di rende più facile:

• Assegnazione della proprietà per piattaforma o team
• Isolare i problemi quando un messaggio fallisce l'autenticazione
• Ruota un tasto senza interrompere un altro servizio.
• Mantenga un controllo migliore negli ambienti IT decentralizzati

In altre parole, le chiavi DKIM multiple sono spesso un riflesso del funzionamento effettivo delle e-mail negli ambienti aziendali oggi.

Come aggiungere più record DKIM

L'aggiunta di più record DKIM è solitamente semplice, ma deve essere effettuata in una sequenza controllata.

1. Inventario di ogni mittente autorizzato

Iniziare a identificare tutti i sistemi autorizzati a inviare e-mail dal dominio. Questo include le piattaforme e-mail principali, gli strumenti di marketing , i sistemi di supporto e le applicazioni di terze parti. Se salta questo passaggio, rischia di abilitare il DKIM per un mittente lasciando gli altri non autenticati.

2. Generare o ottenere la chiave DKIM per ogni mittente.

Ogni piattaforma di invio genererà la propria coppia di chiavi o le chiederà di crearne una. Il mittente utilizza la chiave privata per la firma DKIM, mentre la chiave pubblica corrispondente viene pubblicata nel DNS.

3. Assegna un selettore diverso a ciascun servizio

Ogni mittente dovrebbe utilizzare un selettore diverso. Questo è ciò che permette a più selettori di coesistere in modo sicuro sullo stesso dominio . I nomi dei selettori devono essere chiari e coerenti. Per esempio:

• m365
• google
• crm
• marketing-us

4. Pubblicare i record DNS

Per ogni mittente, aggiunga il record DNS TXT corrispondente alla configurazione DNS del suo dominio. Ogni selettore deve puntare alla propria chiave pubblica.

5. Attivare DKIM nella piattaforma di invio

Una volta pubblicato il DNS, abiliti il DKIM nelle impostazioni dell'applicazione di invio o del server di posta, in modo che inizi a firmare i messaggi con quel selettore.

6. Convalidare la configurazione

Utilizzi un verificatore di record DKIM di o ispezioni l'intestazione e-mail di un messaggio di prova per confermare che il selettore viene utilizzato e che la firma convalida correttamente .

7. Proprietà e modifiche dei documenti

Negli ambienti aziendali, la governance è importante quanto la configurazione tecnica. Conservi i registri di:

• Convenzioni di denominazione dei selettori
• Proprietario commerciale o tecnico per ogni selettore
• Cambiamento della storia
• Date chiave della rotazione

Il coordinamento tra i team DNS, e-mail e sicurezza riduce la possibilità di guasti silenziosi.

Le migliori pratiche per la gestione di più record DKIM su larga scala

Con l'aumento del numero di mittenti, il DKIM diventa meno importante per la semplice impostazione e più per la gestione del ciclo di vita. Alcune migliori pratiche di fanno una grande differenza.

Utilizzi chiavi forti e le ruoti regolarmente

Le chiavi vecchie o deboli creano rischi inutili. La rotazione regolare delle chiavi aiuta a mantenere la fiducia e limita l'esposizione se una chiave viene compromessa.

Utilizzi i selettori per servizio

Eviti di utilizzare un unico selettore per molti sistemi. I selettori per servizio facilitano la risoluzione dei problemi e riducono il raggio di esplosione degli errori di configurazione.

Mantenere la denominazione dei selettori coerente

Una convenzione di denominazione aiuta i team a capire rapidamente a cosa serve ogni selettore. Ciò è tanto più importante quanto più cresce il numero di record multipli di .

Mantenere un inventario centralizzato dei mittenti

Dovrebbe sapere quale servizio invia da quale dominio, quale selettore utilizza, se firma con DKIM e se si allinea anche al suo record SPF e al suo record DMARC

Pulire i record inutilizzati

I vecchi selettori dei sistemi in pensione non dovrebbero rimanere nel DNS per sempre. La rimozione delle voci obsolete riduce il disordine e rende il monitoraggio di più accurato.

Monitorare le prestazioni di autenticazione

La gestione del DKIM dovrebbe far parte di un monitoraggio più ampio, non essere un compito da impostare e dimenticare. Gli audit regolari la aiutano a prendere:

• Firme fallite
• Le chiavi scadute o ruotate non vengono aggiornate nel DNS.
• Mittenti non autorizzati
• Problemi di allineamento che influenzano la deliverability

È qui che il DKIM diventa parte di una più ampia strategia di autenticazione e di riduzione del rischio umano, piuttosto che una semplice casella tecnica .

I record DKIM multipli possono rafforzare l'autenticazione, se gestiti bene.

Si possono avere più record DKIM sullo stesso dominio, e in molte organizzazioni questo è l'approccio giusto. Il requisito chiave è semplice: ogni record deve utilizzare un selettore unico.

Quando i selettori sono ben gestiti, DKIM supporta l'integrità dei messaggi, una maggiore fiducia nei domini e un'autenticazione più affidabile delle e-mail nei moderni ambienti di invio basati sul cloud.