O DKIM falha quando o receptor não consegue verificar a assinatura da mensagem contra a chave pública no seu DNS. As causas comuns são um seletor ausente ou errado, uma chave pública revogada (vazia), a modificação do corpo em trânsito (ex.: por uma lista de e-mails) ou o domínio assinante não se alinhar com seu domínio De:. Cada uma tem uma solução específica.
As chaves DKIM ficam em {seletor}._domainkey.seudominio.com. O seletor é escolhido pela sua plataforma de envio (ex.: google no Google Workspace, selector1/selector2 no Microsoft 365). Se verificar o seletor errado, verá uma falsa falha.
Sem registro / seletor errado: publique o registro TXT exato do seu provedor no seletor exato. Chave revogada (p= vazio): a chave foi rotacionada ou desativada; reative o DKIM e republique. Corpo modificado: um encaminhador ou rodapé de lista alterou a mensagem após a assinatura; apoie-se no alinhamento DMARC+DKIM. Não alinhado: o domínio assinante deve corresponder ao seu domínio De: (ou ser um subdomínio) para o DMARC passar.
Em um e-mail recebido, abra os cabeçalhos e leia a linha DKIM-Signature: d= é o domínio assinante e s= é o seletor. Assim você sabe exatamente qual chave consultar.
Substitua google pelo seu seletor:
$ dig TXT google._domainkey.yourdomain.com +shortVerifique seu registro DKIM agora
Abrir o verificador DKIM gratuito →Veja os cabeçalhos de um e-mail recebido procurando d= e s= na linha DKIM-Signature, ou a página de DKIM da sua plataforma de envio. O valor s= é o seletor.
A chave pública foi revogada. O registro do seletor existe mas não carrega chave, então toda assinatura falha. Regenere/ative a chave no seu provedor.
