Configurar DKIM Google Workspace e G Suite

O que é DKIM no G Suite e onde ativar?

O DKIM no G Suite é a assinatura DomainKeys Identified Mail embutida no e-mail corporativo do Google, que hoje se chama Google Workspace. Os servidores de saída do Google assinam cada mensagem com uma chave privada, e os servidores de destino buscam a chave pública correspondente no seu DNS para validar a assinatura. Se você nunca configurou nada, o Google continua assinando seus e-mails, mas, segundo a Ajuda do Administrador do Google Workspace ("Configurar o DKIM"), faz isso com uma chave padrão em um domínio gappssmtp.com, que pertence ao Google, e não com o seu. Essa assinatura passa no DKIM, mas não fica alinhada com o domínio do From, então não ajuda em nada no DMARC. Para usar o seu domínio, um superadministrador abre o Admin console e vai em Apps > Google Workspace > Gmail > Autenticar e-mail. Selecione o domínio, clique em Gerar novo registro, escolha o tamanho da chave, e o Google mostra o nome do host e o valor TXT a publicar. A assinatura só começa quando você volta a essa mesma tela e clica em Iniciar autenticação. Esse passo é esquecido com frequência, porque publicar o registro no DNS dá a sensação de que o trabalho acabou.

Como configurar DKIM no Google Workspace passo a passo?

A configuração do DKIM no G Suite acontece em dois lugares: no Google Admin console e no seu provedor de DNS. Você precisa de permissão de superadministrador no Workspace e de acesso de edição à zona DNS que realmente responde pelo seu domínio. Se os nameservers do domínio apontam para outro lugar que não o registrador, edite os registros lá, e não no registrador. O conjunto completo de registros que o Workspace espera está na nossa visão geral dos registros DNS do Google Workspace para MX, SPF e DKIM.

1. 1 Entre em admin.google.com com uma conta de superadministrador.
2. 2 Vá em Apps > Google Workspace > Gmail > Autenticar e-mail e escolha o domínio na lista suspensa, se você tiver mais de um.
3. 3 Clique em Gerar novo registro. O Google oferece dois tamanhos de chave; escolha o mais longo se o seu provedor de DNS conseguir armazená-lo, e mantenha o prefixo padrão google, a menos que esteja fazendo rotação de chaves.
4. 4 Copie os dois valores que o Google mostra: o nome do host google._domainkey e o valor TXT, que começa com uma tag de versão do DKIM, depois k=rsa, depois p= seguido de uma longa chave pública codificada.
5. 5 No painel de DNS, crie um único registro TXT com host google._domainkey e cole o valor completo. Não crie um segundo registro para o mesmo host.
6. 6 Espere o registro resolver. Mudanças de DNS não se propagam na hora; confira com dig TXT google._domainkey.seudominio.com.br e só siga em frente quando ele retornar o valor completo.
7. 7 Volte em Autenticar e-mail e clique em Iniciar autenticação. Depois mande uma mensagem de teste para um endereço Gmail, abra Mostrar original e confirme DKIM: PASS com d=seudominio.com.br no cabeçalho DKIM-Signature.

Como é um registro DKIM do G Suite?

Um registro DKIM do G Suite é um registro TXT no DNS do seu domínio. Pela especificação do DKIM, o host é o seletor mais o rótulo fixo _domainkey. O seletor padrão do Google é google, então o nome completo fica google._domainkey.seudominio.com.br. Você pode escolher outro prefixo ao gerar a chave, o que é útil se estiver fazendo rotação de chaves ou se administrar vários domínios no Workspace. O valor é uma lista de tags: uma tag de versão, depois k=rsa para o tipo de chave, depois p= e a chave pública codificada. Copie o valor exatamente como o Google mostra. Um caractere a menos ou um espaço sobrando na string p= quebra a assinatura de todas as mensagens.

A maioria dos painéis de DNS quer o host sem o domínio: só google._domainkey. Se você digitar o nome completo, muitos provedores acrescentam a zona mesmo assim, e o resultado é google._domainkey.seudominio.com.br.seudominio.com.br. É o mesmo problema de host duplicado que descrevemos na nossa configuração de DKIM na GoDaddy para quem envia pelo Brevo. Para ver o que está de fato publicado, rode dig TXT google._domainkey.seudominio.com.br e compare o valor p=, caractere por caractere, com o que aparece no Admin console.

Qual tamanho de chave DKIM escolher no Google Workspace?

Escolha a mais longa das duas chaves que o Google oferece, a não ser que seu provedor de DNS não consiga armazená-la; a chave mais curta é o plano B. Uma chave mais longa é mais difícil de quebrar. O problema é um limite de formato do DNS: o padrão DNS limita o tamanho de cada string de caracteres dentro de um registro TXT, e a chave longa do Google, depois de codificada, passa desse limite. A maioria dos painéis de DNS modernos divide o valor automaticamente em várias strings entre aspas, e a especificação do DKIM manda os servidores de destino juntarem essas strings antes de validar a chave. Alguns painéis mais antigos recusam o valor de cara ou o cortam sem avisar. Uma chave truncada parece normal no painel, mas falha em todos os servidores de destino.

1. 1 Gere a chave mais longa em Autenticar e-mail e copie o valor TXT completo.
2. 2 Cole no seu painel de DNS como um único registro TXT em google._domainkey.
3. 3 Se o painel recusar, divida o valor p= em partes que fiquem abaixo do limite por string, cada uma entre suas próprias aspas, todas dentro de um único registro.
4. 4 Consulte o registro com dig e confirme que as strings unidas batem exatamente com o valor do Google.
5. 5 Se o seu provedor não suportar TXT com múltiplas strings de jeito nenhum, gere a chave mais curta. Ela é mais fraca, mas uma chave que funciona é melhor do que uma quebrada.

Por que o DKIM continua falhando depois de publicar o registro do Google?

Publicar o registro é só metade do trabalho. Enquanto o registro não resolve no DNS, o botão Iniciar autenticação falha ou mostra um erro, então espere o dig retornar o valor completo. Se os e-mails continuarem falhando depois disso, a causa quase sempre é uma das cinco abaixo. Verifique no Gmail abrindo uma mensagem de teste recebida, escolhendo Mostrar original e lendo a linha do DKIM junto com o domínio d= no cabeçalho DKIM-Signature.

• Iniciar autenticação nunca foi clicado: o registro existe, mas o Google continua assinando com o domínio padrão gappssmtp.com, então o valor d= não é o seu.
• Nome de host duplicado: o painel acrescentou a zona a um host já completo, e o registro ficou no nome errado.
• Chave truncada: um valor maior que o limite por string do TXT foi cortado por um painel que não divide strings.
• Nameservers errados: o registro foi criado no registrador, mas o DNS é servido em outro lugar.
• Corpo alterado no caminho: uma lista de e-mail ou um gateway de segurança reescreve a mensagem depois da assinatura, o que quebra o hash do corpo que vai na tag bh= da assinatura.

O DKIM do G Suite cobre e-mails enviados pelo Brevo?

Não. A assinatura DKIM é adicionada pelo servidor que envia a mensagem, e a chave do Google só assina o que sai dos próprios servidores do Google. Quando o EmailFlow OS envia sua prospecção, ela sai do seu próprio endereço de e-mail, mas pela sua própria conta Brevo e pelo seu próprio domínio de envio. Nunca passa por um remetente compartilhado da plataforma. Quem faz o envio é o Brevo, então é o Brevo que precisa assinar, e para isso ele fornece um registro DKIM próprio para você publicar no seu domínio.

Veja como funciona no EmailFlow OS. Você grava um único vídeo e faz o upload, conecta sua conta Brevo e seu domínio de envio e importa sua lista de prospects para o EmailFlow OS. O EmailFlow OS então cria uma versão personalizada dessa mesma gravação para cada destinatário, e não para cada empresa, e envia cada uma pelo Brevo. A conta Brevo e o domínio continuam sob o seu controle. Como as chaves do Google e do Brevo usam seletores diferentes, os dois registros DKIM podem ficar no mesmo domínio sem conflito. Deixar os dois prontos antes de aumentar o volume faz parte do aquecimento de domínio para cold e-mail, e o assunto é tratado com mais detalhes no nosso guia de prospecção a frio com o EmailFlow OS.

Como SPF e DMARC se encaixam com Google e Brevo no mesmo domínio?

O DKIM é só um dos três registros que os provedores de e-mail verificam. As Diretrizes para remetentes de e-mail do Google exigem SPF ou DKIM de quem envia para contas Gmail, e remetentes em massa precisam de SPF, DKIM e DMARC juntos. Com o Workspace e o Brevo enviando pelo mesmo domínio, estes são os detalhes que costumam dar errado:

• Um único registro SPF: a especificação do SPF permite só um registro TXT de SPF por domínio, e publicar dois gera um permerror. Junte o include:_spf.google.com do Google e o include do Brevo nesse mesmo registro, em vez de publicar dois.
• Limite de consultas: a especificação do SPF limita quantos termos que fazem consulta DNS uma verificação pode disparar; passando desse limite, a avaliação falha com permerror, e cada include conta.
• Alinhamento DMARC: o domínio d= de pelo menos uma assinatura DKIM aprovada, ou o domínio do SPF, precisa bater com o domínio do From. No alinhamento relaxado, um subdomínio conta.
• Comece com p=none: publique o _dmarc com p=none e um endereço rua, leia os relatórios agregados dos dois remetentes e só depois passe para quarantine ou reject.

A transição de p=none para a aplicação da política está descrita em DMARC no Google Workspace: registro e implantação, e a interação das três verificações em DKIM, DMARC e SPF para quem envia cold e-mail. Os requisitos de cabeçalho e estrutura das próprias mensagens estão no nosso guia de formato de cold e-mail, que trata de estrutura, cabeçalhos e vídeo.

Perguntas frequentes

? DKIM no G Suite é o mesmo que DKIM no Google Workspace?

Sim. G Suite é o nome antigo do Google Workspace, e o recurso de DKIM funciona do mesmo jeito. Você continua gerando a chave em Apps > Google Workspace > Gmail > Autenticar e-mail, publica como registro TXT em google._domainkey por padrão e ativa a assinatura com Iniciar autenticação.

? Quanto tempo o DKIM do Google leva para começar a funcionar?

Depende da velocidade de propagação da sua alteração no DNS. Assim que o dig retornar o valor TXT completo em google._domainkey, você pode clicar em Iniciar autenticação, e a assinatura passa a valer para os novos e-mails enviados. Mensagens enviadas antes disso mantêm a assinatura padrão do Google em um domínio gappssmtp.com, que não fica alinhada com o seu endereço From.

? Posso ter dois registros DKIM no mesmo domínio?

Sim. Cada registro DKIM fica no seu próprio seletor, como google._domainkey para o Workspace e um seletor separado para o Brevo. Os servidores de destino leem a tag s= no cabeçalho DKIM-Signature de cada mensagem para saber qual chave buscar, então várias chaves não entram em conflito. Com o SPF é diferente: a especificação do SPF permite apenas um registro por domínio.

? O que acontece se eu não configurar DKIM para o meu domínio no Workspace?

O Google continua assinando seus e-mails, mas com uma chave padrão em um domínio gappssmtp.com, que pertence ao Google. O DKIM passa, mas não fica alinhado com o domínio do From, então o DMARC só pode passar via SPF. Isso deixa os e-mails expostos sempre que um encaminhamento quebra o SPF, porque o servidor que encaminha não está listado no seu registro SPF.