Rotazione delle chiavi DKIM: la guida completa (e perché la maggior parte dei mittenti sconosciuti non ne ha bisogno)

La maggior parte degli articoli sulla rotazione delle chiavi DKIM sostiene che sia fondamentale, urgente e imprescindibile per garantire l’arrivo dei messaggi nella posta in arrivo. È una strategia per vendere dashboard DMARC. Ma non rispecchia la realtà.

Ecco come stanno le cose. La rotazione delle chiavi DKIM serve proprio a impedire che una chiave privata rubata o violata possa essere utilizzata in modo improprio all’infinito. Per le aziende con requisiti di conformità rigorosi, i settori soggetti a regolamentazione o i domini che sono stati compromessi, la rotazione è fondamentale. Per un team di cold outreach B2B che gestisce campagne da una manciata di caselle di posta di Google Workspace o Microsoft 365? È per lo più una misura eccessiva. Il posizionamento dei tuoi messaggi nella casella di posta non cambia solo perché hai effettuato la rotazione della chiave lo scorso trimestre.

Questa guida è rivolta a chi ha davvero bisogno di farlo o a chi vuole capire in cosa consiste effettivamente prima di decidere che non vale la pena dedicarci tempo e risorse tecniche. Tratteremo cos’è la rotazione delle chiavi DKIM, chi dovrebbe interessarsene, come effettuarla sui due provider più importanti e su cosa concentrarsi concretamente se le vostre e-mail finiscono nella cartella dello spam.

Che cos’è la rotazione delle chiavi DKIM?

Il protocollo DKIM (DomainKeys Identified Mail) firma ogni email in uscita con una firma crittografica. Una chiave privata, detenuta dal proprio provider di posta elettronica, firma il messaggio. Una chiave pubblica corrispondente, pubblicata nel proprio DNS come record TXT sotto un “selettore”, consente ai server destinatari di verificare che la firma sia autentica e che il messaggio non sia stato manomesso durante il transito.

La rotazione delle chiavi DKIM consiste nel sostituire quella coppia di chiavi con una nuova. Ecco come funziona:

1. Generare una nuova coppia di chiavi privata e pubblica
2. Pubblica la nuova chiave pubblica nel DNS sotto un nuovo selettore
3. Configurare il sistema di invio in modo che utilizzi la nuova chiave privata per la firma
4. Ritirare il vecchio selettore dopo un periodo di sovrapposizione di sicurezza

È proprio questo il punto.

Il motivo per cui esiste questa pratica è la sicurezza. Le chiavi private DKIM sono segreti crittografici. Se una di esse viene divulgata, copiata durante una migrazione dell’infrastruttura o semplicemente rimane inutilizzata per anni con una lunghezza della chiave insufficiente (1024 bit), un malintenzionato che ne entri in possesso potrà firmare le e-mail a nome del tuo dominio. La rotazione periodica della chiave limita l’entità del danno. È proprio questo il punto.

Per capire come DKIM si inserisca nel più ampio contesto delle tecniche di autenticazione, consulta la nostra guida su SPF, DKIM e DMARC.

È davvero necessario ruotare le chiavi DKIM?

Prima di illustrare la procedura, cerchiamo di essere chiari su chi ne è interessato.

Probabilmente non è necessario aggiornare le chiavi DKIM se:

• Effettui attività di outreach a freddo B2B da una manciata di caselle di posta di Google Workspace o Microsoft 365
• Le tue chiavi sono già a 2048 bit e sono state configurate correttamente
• Non hai motivo di ritenere che la tua infrastruttura DNS o di posta elettronica sia stata compromessa
• Non sei soggetto a quadri normativi che impongono la rotazione

Probabilmente dovrai ruotare le chiavi DKIM se:

• Ti occupi della gestione dell'infrastruttura di posta elettronica di un'azienda che invia grandi volumi di messaggi tramite diverse piattaforme
• La vostra organizzazione segue standard di conformità quali PCI DSS, HIPAA o SOC 2 che impongono la rotazione delle chiavi
• Stai ancora utilizzando chiavi legacy a 1024 bit, che vengono sempre più considerate poco sicure
• Si è verificato un incidente di sicurezza, una fuga di credenziali o una violazione da parte di un fornitore che potrebbe aver compromesso la chiave privata DKIM
• Stai cambiando provider di posta elettronica e devi dismettere in modo corretto la vecchia infrastruttura di firma

Il M3AAWG (Messaging, Malware and Mobile Anti-Abuse Working Group) pubblica il documento sulle migliori pratiche più citato in materia. La loro raccomandazione: effettuare la rotazione almeno ogni 6 mesi per le organizzazioni dotate di programmi di sicurezza consolidati. Tale linea guida è rivolta ai grandi mittenti.

Se fai parte del primo gruppo, puoi smettere di leggere e andare a sistemare qualcosa che influisca davvero sul posizionamento dei tuoi messaggi nella posta in arrivo. Più avanti troverai alcuni suggerimenti al riguardo. Se invece fai parte del secondo gruppo, continua a leggere.

‍

La rotazione delle chiavi DKIM migliora la deliverability delle e-mail?

Risposta breve: no.

Alcuni articoli sostengono che sia così. Ma la verità è che la deliverability delle e-mail per le campagne di outreach a freddo dipende da tre fattori:

1. La reputazione del mittente, determinata dal livello di coinvolgimento (aperture, risposte, segnalazioni di spam)
2. Il contenuto delle e-mail, che comprende i link, i pixel di tracciamento, il codice HTML, il testo, gli allegati e le firme
3. Configurazione dell'invio, che include le tue impostazioni di autenticazione (SPF, DKIM, DMARC) e il tuo provider

La rotazione DKIM rientra nel terzo gruppo. E solo in misura limitata.

Finché il tuo DKIM è valido, correttamente firmato e allineato al tuo dominio “Da”, ai provider di posta elettronica non interessa se la chiave risale a 3 mesi o a 3 anni fa. Controllano la firma, verificano il messaggio e vanno avanti. Passare da una chiave valida a 2048 bit a una nuova chiave valida a 2048 bit non cambia nulla nel modo in cui Gmail o Outlook gestiscono la tua posta.

Ciò che determina effettivamente il posizionamento dei tuoi messaggi nella posta in arrivo è innanzitutto se il tuo DKIM è stato configurato correttamente, se rimane valido nel tempo e se la tua reputazione come mittente è sufficientemente solida da indurre i provider di posta elettronica a consegnare i tuoi messaggi.

La rotazione è una misura di sicurezza di base. Non è uno strumento per migliorare la deliverability.

Come ruotare le chiavi DKIM (in base al provider)

Le modalità variano a seconda del fornitore. Ecco come gestiscono la questione le tre configurazioni effettivamente utilizzate dalla maggior parte dei team B2B.

Rotazione delle chiavi DKIM in Microsoft 365

Microsoft 365 semplifica questa operazione rispetto a qualsiasi altro fornitore di rilievo, poiché utilizza due record CNAME (selector1 e selector2) che puntano a chiavi gestite da Microsoft nel backend. Non sei tu a generare o pubblicare nuove chiavi, ma Microsoft.

Per attivare la rotazione:

1. Accedi al portale di Microsoft 365 Defender
2. Vai su "Posta elettronica e collaborazione", quindi su "Politiche e regole"
3. Fai clic su "Criteri di sicurezza", quindi su "Impostazioni di autenticazione e-mail"
4. Apri la scheda DKIM e seleziona il tuo dominio
5. Fai clic su “Ruota chiavi DKIM”

Dopo aver avviato la rotazione, Microsoft non effettua immediatamente il passaggio alla nuova chiave. La nuova chiave entra in vigore nell'arco di un periodo massimo di 96 ore, durante il quale entrambe le chiavi possono firmare i messaggi. Non è necessario intervenire sul DNS, purché i record CNAME siano già presenti.

Se hai configurato DKIM tramite record TXT diretti anziché tramite CNAME (configurazioni precedenti), dovrai prima passare all'approccio basato sui CNAME. Per la procedura completa di configurazione iniziale, consulta la nostra guida alla configurazione di DKIM per Office 365.

Rotazione delle chiavi DKIM in Google Workspace

La rotazione delle chiavi in Google Workspace è più manuale. Non esiste un meccanismo automatico né un selettore secondario integrato. È necessario generare la nuova chiave, pubblicarla nel DNS e effettuare personalmente il passaggio alla nuova chiave.

I passaggi:

1. Accedi alla Google Admin Console
2. Vai su Menu, poi su App, poi su Google Workspace, poi su Gmail
3. Fai clic su "Autentica e-mail"
4. Seleziona il dominio che desideri inserire nella rotazione
5. Fare clic su “Genera nuovo record” e selezionare “2048 bit” come lunghezza della chiave
6. Copia il valore del nuovo record TXT
7. Pubblica il nuovo record TXT nel DNS con un nuovo nome di selettore (senza sovrascrivere quello precedente)
8. Attendere la propagazione del DNS (in genere meno di un'ora; per sicurezza, prevedere fino a 24 ore)
9. Torna alla Console di amministrazione e fai clic su “Avvia autenticazione” per attivare la nuova chiave
10. Dopo aver verificato per almeno 7 giorni che la nuova chiave funzioni correttamente, rimuovi il vecchio record TXT dal DNS

La sovrapposizione di 7 giorni non è facoltativa. I messaggi già in transito o presenti nelle code dei destinatari potrebbero essere ancora verificati utilizzando la chiave precedente. Se il vecchio record viene rimosso troppo presto, tali messaggi non supereranno la verifica DKIM.

Se sei ancora nella fase di configurazione iniziale, la nostra guida alla configurazione DKIM di Google Workspace ti fornirà tutte le informazioni necessarie.

Rotazione delle chiavi DKIM per piattaforme di invio di terze parti

Se si inviano le email tramite Mailgun, SendGrid, Amazon SES, Brevo o servizi simili, ogni piattaforma gestisce la rotazione in modo diverso. Alcune effettuano la rotazione automaticamente (Mailgun, ad esempio, effettua la rotazione ogni 120 giorni per impostazione predefinita). Altre richiedono l’attivazione manuale tramite la propria dashboard. Altre ancora richiedono di generare la chiave autonomamente e di aggiornare manualmente il DNS.

Consulta la documentazione della piattaforma. Il procedimento è comunque lo stesso:

1. Genera nuove chiavi
2. Pubblica con un nuovo selettore
3. Eseguirli entrambi in parallelo durante il passaggio
4. Rimuovere il vecchio selettore dopo un periodo di svuotamento verificato

Non riutilizzare mai i nomi dei selettori. I messaggi firmati più vecchi ancora in transito non supereranno la verifica se confrontati con una nuova chiave che porta lo stesso nome di selettore. Questo è il modo più semplice per causare malfunzionamenti.

‍

Frequenza di rotazione DKIM: con quale frequenza è consigliabile effettuare la rotazione?

Non esiste un'unica risposta corretta. Ecco un confronto tra le principali linee guida.

Il motivo per cui i team di outreach a freddo si trovano in fondo a questa tabella non è che siano esenti dalle migliori pratiche di sicurezza. È piuttosto che il modello di minaccia è diverso. Se gestisci 20 caselle di posta per campagne in uscita, la tua chiave privata DKIM non rappresenta un obiettivo di alto valore allo stesso modo in cui lo è la chiave di firma radice di un’azienda Fortune 500. I cicli di rotazione pensati per i modelli di minaccia aziendali non si adattano perfettamente alle configurazioni di outreach B2B su scala più ridotta.

Se il tuo team ha le risorse necessarie e vuoi comunque procedere in questo modo, ogni sei mesi va bene. Ogni trimestre è una scelta prudente. Una volta all’anno è accettabile per configurazioni a basso rischio. Non esiste una frequenza ideale.

Migliori pratiche per la rotazione delle chiavi DKIM

Se avete deciso di integrare la rotazione nel vostro programma di sicurezza, ecco le pratiche da seguire per evitare che causi problemi.

Utilizzate chiavi da 2048 bit. Lo standard da 1024 bit è considerato insufficiente secondo gli attuali standard crittografici. Le chiavi da 512 bit sono state violate tramite elaborazione cloud con una spesa inferiore a 10 dollari. Qualsiasi valore inferiore a 2048 bit rappresenta un rischio.

Durante il passaggio, utilizzare sempre due selettori in parallelo. Generare la nuova chiave, pubblicarla sotto un nuovo selettore, attendere il completamento della migrazione della firma, quindi attendere. Non eliminare il vecchio record DNS per almeno 7 giorni dopo il passaggio. I messaggi in transito o in coda altrove continueranno a tentare la verifica rispetto alla vecchia chiave.

Non riutilizzare mai i nomi dei selettori. Se elimini un selettore e ripubblici una chiave con lo stesso nome, qualsiasi email precedente firmata con la chiave originale non supererà la verifica DKIM. Il DNS restituisce una chiave pubblica diversa da quella utilizzata per firmare il messaggio. Utilizza nomi basati sulla data o sulla versione, come ad esempio mail202607 o selector-v3.

Verifica che la nuova chiave funzioni correttamente prima di disattivare quella vecchia. Invia alcune e-mail di prova. Controlla l'intestazione "Authentication-Results" in un messaggio ricevuto. Assicurati che dkim=pass e che i valori d= e s= corrispondano al tuo nuovo selettore. Utilizza uno strumento di verifica DKIM per confermare che il record sia pubblicato correttamente e sia analizzabile.

Ruotate un flusso di invio alla volta. Se la vostra organizzazione gestisce le e-mail transazionali, di marketing e di assistenza tramite piattaforme separate, ruotatele in sequenza anziché contemporaneamente. In questo modo, l’impatto di un eventuale malfunzionamento rimane sotto controllo.

Documentate tutto. Tenete traccia di quali selettori sono attivi, quali chiavi firmano quali flussi e quando è avvenuta ogni rotazione. Senza documentazione, chiunque si occuperà del vostro DNS in futuro si ritroverà con un pasticcio che non potrà risolvere in modo sicuro.

Monitorate i rapporti DMARC durante e dopo la rotazione. I vostri rapporti DMARC aggregati saranno il segnale più immediato che qualcosa non va. Se non li consultate, non vi accorgerete del problema finché il tasso di consegna nella posta in arrivo non subirà effettivamente un calo.

Errori comuni nella rotazione delle chiavi DKIM

Gli errori che riscontriamo più spesso:

L'eliminazione del vecchio record TXT subito dopo il cambio di firma. La causa principale degli errori DKIM successivi alla rotazione. I messaggi in transito, quelli in coda e quelli sottoposti a verifica con ritardo risultano tutti non validi. Lasciare attivo il vecchio record per almeno una settimana dopo la migrazione della firma.

Riutilizzo dei nomi dei selettori. Come sopra. Ciò compromette la verifica di qualsiasi messaggio firmato precedente.

Non bisogna dimenticare che la propagazione del DNS è un processo reale. La pubblicazione di un nuovo record TXT non lo rende immediatamente disponibile ovunque. I resolver lo memorizzano nella cache. Alcuni sistemi DNS a monte impiegano più tempo di altri. Attendere il completamento della propagazione prima di attivare la firma.

Considerare la rotazione come una soluzione al problema della deliverability quando il vero problema è altrove. Questo è un punto importante. Se le tue e-mail finiscono nella cartella dello spam, la rotazione non risolverà il problema. L’invio nella cartella dello spam è un problema legato alla reputazione del mittente, al contenuto o alla configurazione dell’invio. Non è un problema legato all’età delle chiavi. Chi cerca la soluzione sbagliata perde settimane.

Avvio della rotazione di Microsoft 365 prima di aver verificato che i record CNAME siano stati configurati correttamente. Se il DKIM di M365 è stato configurato tramite record TXT (metodo precedente), il pulsante di rotazione presente nel portale non funzionerà correttamente. Effettuare prima la migrazione ai record CNAME.

Se desideri saperne di più, consulta la nostra guida dettagliata “Errore DMARC: perché si verifica e come risolverlo” per trovare soluzioni ai problemi correlati.

Su cosa dovrebbero concentrarsi realmente i team che si occupano di cold email

Se sei arrivato a questo articolo perché le tue e-mail di outreach a freddo non arrivano nelle caselle di posta, la rotazione delle chiavi DKIM non è la soluzione giusta.

Le cose che fanno davvero la differenza:

• Una reputazione del mittente basata su un coinvolgimento reale. Ciò significa ricevere interazioni positive dalle caselle di posta di Google Workspace e Microsoft 365, i due provider che detengono la maggior parte del mercato delle caselle di posta. Le interazioni SMTP personalizzate non fanno la differenza. Ecco perché email warmup è così importante per il B2B
• Contenuti puliti, privi di link aggressivi, pixel di tracciamento o allegati che attivano i filtri
• Una configurazione di invio valida con SPF, DKIM e DMARC allineata al tuo dominio “Da”
• Limite di volume. Non più di 100 email a freddo al giorno per ogni casella di posta su Google Workspace o Microsoft 365
• Test reali di consegna nella posta in arrivo. Invio in condizioni reali a un elenco di caselle di posta “seed” di diversi provider, non strumenti di valutazione dello spam basati su un singolo indirizzo che ti assegnano un punteggio di 10/10 mentre le tue e-mail reali finiscono nella cartella dello spam

Se il DKIM che hai configurato due anni fa è ancora valido, ha ancora una chiave a 2048 bit e continua a superare i controlli nei tuoi report DMARC, lascialo così com’è. Risolvi solo i problemi effettivi.

‍

In che modo MailReach ti aiuta a concentrarti su ciò che conta davvero

MailReach è stato progettato per affrontare gli aspetti della deliverability che incidono realmente sul cold outreach. Non quelli che fanno bella figura in una presentazione dedicata agli audit di sicurezza.

Email warmup costruisce una reputazione reale del mittente. La nostra rete di warmup peer-to-peer conta oltre 30.000 caselle di posta, per lo più account reali di Google Workspace e Microsoft 365. Il punteggio medio di reputazione della nostra rete è 95,17/100. Perché è importante: le interazioni positive contano solo quando provengono da caselle di posta di cui i principali provider si fidano davvero. Ottenere interazioni da una rete composta esclusivamente da account SMTP personalizzati (su cui si basano la maggior parte degli strumenti “all-in-one”) non contribuisce in modo significativo alla tua reputazione. Prova Email Warmup di MailReach.

Un test antispam che ti dice la verità. Invia la tua campagna reale attraverso il test antispam di MailReach e scopri esattamente dove finisce in oltre 30 caselle di posta. Non si tratta di un “punteggio antispam su 10” basato sull’analisi sintattica della tua email, ma del posizionamento effettivo nella casella di posta in condizioni di invio reali. Avrai inoltre visibilità sullo stato di superamento o fallimento dei controlli SPF, DKIM e DMARC, sui controlli dei link, sull’analisi delle parole considerate spam e sui controlli delle blacklist.

Funzionalità di diagnostica dell'autenticazione integrate. MailReach rileva gli errori SPF e DKIM sia durante la fase di warm-up che durante i test antispam. In questo modo, se l'autenticazione smette di funzionare (a seguito di una rotazione, di un cambio di strumento o di una modifica al DNS), te ne accorgi prima che la deliverability subisca un calo, non dopo.

Progettato per gestire grandi volumi. Gestisci centinaia o migliaia di caselle di posta con monitoraggio della reputazione per dominio, tag, avvisi e un'API. Se gestisci più clienti, più domini o un volume considerevole di comunicazioni, questo aspetto è fondamentale.

Se stai perdendo appuntamenti perché le tue e-mail non vengono lette, prova MailReach.

Se sei qui perché l’ufficio conformità ti ha chiesto di sostituire le chiavi, segui i passaggi indicati sopra.