Rotação de Chaves DKIM: O Guia Sincero (E Porque é que a Maioria dos Remetentes de Cold Emails Não Precisa Dela)

A maioria dos artigos sobre a rotação de chaves DKIM vai dizer-te que é crucial, urgente e inegociável para a colocação no inbox. Isso serve para vender dashboards de DMARC. Não reflete a realidade.

Esta é a verdade. A rotação de chaves DKIM existe para que uma chave privada roubada ou comprometida não possa ser usada indevidamente para sempre. Para empresas com requisitos rigorosos de conformidade, indústrias reguladas ou domínios que foram comprometidos, a rotação importa. Para uma equipa de cold outreach B2B que envia campanhas a partir de meia dúzia de inboxes do Google Workspace ou Microsoft 365? É sobretudo um exagero. A tua colocação no inbox não muda só porque rodaste a tua chave no trimestre passado.

Este guia é para quem realmente precisa de o fazer, ou para quem quer saber o que isso implica antes de decidir que não vale a pena o tempo de engenharia. Vamos ver o que é a rotação de chaves DKIM, quem deve preocupar-se com isso, como fazê-la nos dois fornecedores que interessam e em que te deves focar se os teus emails estiverem a bater no spam.

O que é a rotação de chaves DKIM?

DKIM (DomainKeys Identified Mail) assina cada email enviado com uma assinatura criptográfica. Uma chave privada, guardada pelo teu fornecedor de email, assina a mensagem. Uma chave pública correspondente, publicada no teu DNS como um registo TXT sob um "seletor", permite que os servidores recetores verifiquem se a assinatura é genuína e se a mensagem não foi adulterada em trânsito.

A rotação de chaves DKIM é o processo de substituir esse par de chaves por um novo. A mecânica:

1. Gera uma nova chave privada e pública
2. Publica a nova chave pública no DNS com um novo seletor
3. Muda o teu sistema de envio para assinar com a nova chave privada
4. Desativa o seletor antigo após um período de sobreposição seguro

É basicamente isto.

A razão pela qual esta prática existe é a segurança. As chaves privadas do DKIM são segredos criptográficos. Se uma delas for comprometida, copiada durante uma migração de infraestrutura ou simplesmente ficar esquecida durante anos com uma chave fraca de 1024 bits, um atacante que consiga aceder-lhe pode assinar emails em nome do teu domínio. A rotação periódica da chave limita os estragos. Esse é o objetivo principal.

Para saberes como o DKIM se enquadra na pilha de autenticação geral, consulta o nosso guia sobre SPF, DKIM e DMARC.

Precisas mesmo de fazer a rotação das tuas chaves DKIM?

Antes de avançarmos para o processo, vamos ser honestos sobre quem é que isto afeta.

Provavelmente não precisas de fazer a rotação das chaves DKIM se:

• Envias emails frios B2B a partir de algumas caixas de entrada do Google Workspace ou Microsoft 365
• As tuas chaves já são de 2048 bits e foram configuradas corretamente
• Não tens motivos para acreditar que o teu DNS ou a tua infraestrutura de email foram comprometidos
• Não estás sujeito a normas de conformidade que exijam a rotação

Provavelmente precisas de fazer a rotação das chaves DKIM se:

• Geres a infraestrutura de email de uma empresa que envia grandes volumes através de várias plataformas
• A tua organização segue normas de conformidade como PCI DSS, HIPAA ou SOC 2 que exigem a rotação de chaves
• Ainda estás a usar chaves antigas de 1024 bits, que são cada vez mais consideradas fracas
• Tiveste um incidente de segurança, uma fuga de credenciais ou uma falha num fornecedor que possa ter exposto a tua chave privada DKIM
• Estás a migrar de fornecedor de email e precisas de desativar de forma limpa a infraestrutura de assinatura antiga

O M3AAWG (Messaging, Malware and Mobile Anti-Abuse Working Group) publica o documento de boas práticas mais consultado sobre este tema. A recomendação deles: fazer a rotação pelo menos a cada 6 meses para organizações com programas de segurança maduros. Esta orientação é direcionada a grandes remetentes.

Se estás no primeiro grupo, podes parar de ler e ir resolver algo que afeta realmente a tua colocação na caixa de entrada. Temos sugestões para isso mais abaixo. Se estás no segundo grupo, continua.

‍

A rotação da chave DKIM melhora a entregabilidade dos emails?

Resposta curta: não.

Alguns artigos dizem-te que sim. Mas a verdade é que a deliverability dos teus emails de cold outreach depende de três fatores:

1. Sender reputation, que é impulsionada pelo engagement (aberturas, respostas, reclamações de spam)
2. Conteúdo do email, que inclui os teus links, píxeis de tracking, HTML, escolha de palavras, anexos e assinaturas
3. Configuração de envio, que abrange a tua autenticação (SPF, DKIM, DMARC) e o teu fornecedor

A rotação de DKIM está integrada no terceiro grupo. E apenas de uma forma muito limitada.

Desde que o teu DKIM seja válido, esteja devidamente assinado e alinhado com o teu domínio "De", os fornecedores de caixa de correio não querem saber se a chave tem 3 meses ou 3 anos. Eles verificam a assinatura, validam a mensagem e seguem em frente. Rodar de uma chave válida de 2048 bits para uma nova chave válida de 2048 bits não muda nada na forma como o Gmail ou o Outlook tratam os teus emails.

O que realmente determina a tua entrada na inbox é se o teu DKIM foi configurado corretamente à partida, se se mantém válido ao longo do tempo e se a tua sender reputation é suficientemente forte para que os fornecedores queiram entregar os teus emails.

A rotação é uma questão de higiene e segurança. Não é uma alavanca para a deliverability.

Como rodar chaves DKIM (por fornecedor)

Os procedimentos variam consoante o fornecedor. Eis como lidar com isto nas três configurações que as equipas de B2B mais usam.

Rodar chaves DKIM no Microsoft 365

O Microsoft 365 torna isto mais fácil do que qualquer outro grande fornecedor porque utiliza dois registos CNAME (selector1 e selector2) que apontam para chaves geridas pela Microsoft nos bastidores. Não precisas de gerar ou publicar novas chaves tu mesmo. A Microsoft trata disso.

Para iniciar a rotação:

1. Inicia sessão no portal Microsoft 365 Defender
2. Vai a Email & Collaboration e depois a Policies & Rules
3. Clica em Threat Policies e depois em Email Authentication Settings
4. Abre o separador DKIM e seleciona o teu domínio
5. Clica em Rotate DKIM Keys

Depois de iniciares a rotação, a Microsoft não muda a assinatura de imediato. A nova chave fica ativa num período que pode ir até 96 horas, durante o qual ambas as chaves podem assinar emails. Não precisas de mexer no DNS desde que os registos CNAME já lá estejam.

Se configuraste o DKIM através de registos TXT diretos em vez de CNAMEs (configurações mais antigas), terás primeiro de migrar para a abordagem CNAME. Para veres a configuração inicial completa, consulta o nosso guia de configuração de DKIM para o Office 365.

Rodar chaves DKIM no Google Workspace

A rotação no Google Workspace é mais manual. Não existe um mecanismo automático nem um segundo seletor integrado. Tu geras a nova chave, publicas-la no DNS e mudas a assinatura por ti mesmo.

Os passos:

1. Inicia sessão na Google Admin Console
2. Vai a Menu, depois a Apps, a Google Workspace e, por fim, a Gmail
3. Clica em Autenticar Email
4. Seleciona o domínio que queres rodar
5. Clica em Gerar Novo Registo e escolhe 2048-bit como o comprimento da chave
6. Copia o valor do novo registo TXT
7. Publica o novo registo TXT no DNS com um novo nome de seletor (não sobrescrevas o antigo)
8. Aguarda pela propagação do DNS (normalmente menos de uma hora, mas dá até 24 horas por segurança)
9. Volta à Consola de Administração e clica em Iniciar Autenticação para ativar a nova chave
10. Após pelo menos 7 dias a confirmar que a nova chave está a assinar corretamente, remove o registo TXT antigo do DNS

A sobreposição de 7 dias não é opcional. As mensagens já em trânsito ou nas filas dos recetores ainda podem ser verificadas com a chave antiga. Se limpares o registo antigo demasiado cedo, essas mensagens falham a verificação DKIM.

Se ainda estás na configuração inicial, o nosso guia de configuração de DKIM no Google Workspace dá uma ajuda.

Rotação de chaves DKIM para plataformas de envio de terceiros

Se envias através do Mailgun, SendGrid, Amazon SES, Brevo ou semelhantes, cada plataforma lida com a rotação de forma diferente. Algumas rodam automaticamente (o Mailgun roda a cada 120 dias por predefinição). Outras exigem que aciones manualmente através do painel. Outras precisam que tu próprio geres a chave e atualizes o DNS manualmente.

Vê a documentação da plataforma. O padrão é sempre o mesmo:

1. Gerar novas chaves
2. Publicar sob um novo seletor
3. Executar ambas em paralelo durante a transição
4. Retirar o seletor antigo após um período de esvaziamento verificado

Nunca reutilizes nomes de seletores. As mensagens antigas assinadas que ainda estão em trânsito vão falhar a verificação contra uma nova chave com o mesmo nome de seletor. É a maneira mais fácil de estragar tudo.

‍

Frequência de Rotação do DKIM: Com Que Frequência Deves Fazer a Rotação?

Não há uma única resposta certa. Vê como se comparam as principais recomendações.

A razão pela qual as equipas de cold outreach estão no fundo desta tabela não é por estarem isentas das melhores práticas de segurança. É porque o modelo de ameaça é diferente. Se estiveres a gerir 20 caixas de correio para campanhas de outbound, a tua chave privada DKIM não é um alvo de alto valor da mesma forma que a chave raiz de assinatura de uma empresa da Fortune 500. Os ciclos de rotação criados para modelos de ameaça empresariais não se aplicam diretamente a estruturas de outreach B2B mais pequenas.

Se a tua equipa tiver disponibilidade e quiser fazê-lo na mesma, a cada 6 meses está bom. Trimestralmente é conservador. Anualmente é aceitável para configurações de baixo risco. Não há um número mágico.

Melhores Práticas para a Rotação de Chaves DKIM

Se decidiste que a rotação faz parte do teu programa de segurança, estas são as práticas que evitam que algo corra mal.

Usa chaves de 2048 bits. O padrão de 1024 bits é considerado fraco pelos padrões criptográficos atuais. Chaves de 512 bits já foram quebradas em computação na cloud por menos de 10$. Qualquer coisa abaixo de 2048 bits é um risco.

Usa sempre dois seletores em paralelo durante a transição. Gera a nova chave, publica sob um novo seletor, deixa a assinatura migrar e depois espera. Não apagues o registo DNS antigo durante pelo menos 7 dias após a mudança. Os emails em trânsito ou na fila noutro sítio ainda vão tentar verificar com a chave antiga.

Nunca reutilizes nomes de seletores. Se apagares um seletor e voltares a publicar uma chave com o mesmo nome, qualquer email mais antigo assinado com a chave original vai falhar a verificação DKIM. O DNS devolve uma chave pública diferente daquela que assinou a mensagem. Usa nomes baseados em datas ou versões, como mail202607 ou selector-v3.

Confirma se a nova chave está realmente a assinar antes de desativar a antiga. Envia emails de teste. Verifica o cabeçalho Authentication-Results numa mensagem recebida. Confirma se dkim=pass e se os valores d= e s= refletem o teu novo seletor. Usa um verificador DKIM para confirmar se o registo está publicado corretamente e pode ser lido.

Faz a rotação de um fluxo de envio de cada vez. Se a tua organização envia emails transacionais, de marketing e de suporte através de plataformas separadas, faz a rotação por ordem e não em simultâneo. O impacto mantém-se controlado se algo falhar.

Documenta tudo. Regista quais os seletores ativos, que chaves assinam cada fluxo e quando aconteceu cada rotação. Sem documentos, quem mexer no teu DNS a seguir vai herdar uma confusão que não consegue arranjar em segurança.

Monitoriza os relatórios DMARC durante e após a rotação. Os teus relatórios DMARC agregados vão ser o sinal mais rápido de que algo não está bem. Se não os deres por lidos, só vais apanhar o problema quando a colocação no inbox realmente cair.

Erros Comuns na Rotação de Chaves DKIM

As falhas que vemos mais vezes:

Eliminar o registo TXT antigo logo após mudares a assinatura. Esta é, de longe, a causa mais comum de falhas de DKIM pós-rotação. Os emails em trânsito, na fila ou a ser verificados com atraso vão todos falhar. Deixa o registo antigo ativo durante pelo menos uma semana após migrares a assinatura.

Reutilizar nomes de seletores. O mesmo que em cima. Isto estraga a verificação de qualquer email assinado mais antigo.

Esqueceres-te de que a propagação de DNS é real. Publicar um novo registo TXT não faz com que fique logo disponível em todo o lado. Os resolvers fazem cache. Alguns sistemas de DNS a montante demoram mais do que outros. Espera pela propagação antes de ligar o interruptor da assinatura.

Tratar a rotação como uma solução de deliverability quando o verdadeiro problema está noutro lado. Este ponto é importante. Se os teus emails estão a ir parar ao spam, a rotação não vai resolvê-lo. Ir para o spam é um problema de reputação do remetente, de conteúdo ou da configuração de envio. E não um problema de idade da chave. Quem anda à procura da solução errada perde semanas.

Acionar a rotação do Microsoft 365 antes de verificar se os registos CNAME estão no sítio. Se o teu DKIM do M365 foi configurado através de registos TXT (método mais antigo), o botão de rotação no portal não vai funcionar corretamente. Migra primeiro para CNAMEs.

Se quiseres saber mais, vê o nosso artigo sobre DMARC Fail: Why It Happens and How to Fix It para dicas de resolução de problemas relacionadas.

Onde é que as Equipas de Cold Email DEVEM Focar-se

Se vieste ter a este artigo porque o teu cold outreach não está a chegar aos inboxes, a rotação de chaves DKIM não é a solução a aplicar.

As coisas que realmente fazem a diferença:

• Reputação de remetente baseada em interações reais. Isto significa receber interações positivas de caixas de entrada do Google Workspace e do Microsoft 365, os dois fornecedores que dominam a maior parte do mercado de email. As interações SMTP personalizadas não fazem a diferença. É por isto que como funciona o email warmup importa tanto para B2B.
• Conteúdo limpo sem links agressivos, pixéis de rastreio ou anexos que ativem os filtros
• Uma configuração de envio válida com SPF, DKIM e DMARC alinhados com o teu domínio "De" ("From")
• Disciplina de volume. No máximo 100 emails a frio por dia por caixa de entrada no Google Workspace ou Microsoft 365
• Testes reais de colocação na caixa de entrada. Envio em condições reais para uma lista de caixas de entrada seed em vários fornecedores, e não ferramentas de pontuação de spam de endereço único que te dão um 10/10 enquanto os teus emails reais vão parar ao spam

Se o DKIM que configuraste há dois anos ainda for válido, continuar a ser de 2048-bit e passar nos teus relatórios DMARC, não o mudes. Corrige o que está realmente avariado.

‍

Como o MailReach ajuda naquilo que realmente importa

O MailReach foi criado para as vertentes da deliverability que afetam mesmo o cold outreach. E não para aquelas que ficam bem num slide de auditoria de segurança.

Email warmup que constrói uma reputação de remetente real. A nossa rede de aquecimento peer-to-peer conta com mais de 30.000 caixas de correio, maioritariamente contas reais do Google Workspace e Microsoft 365. A pontuação média de reputação da nossa rede é de 95,17/100. Porque é que isto importa: as interações positivas só contam quando vêm de caixas de correio em que os principais fornecedores realmente confiam. Receber engagement de uma rede cheia de contas SMTP personalizadas (que é o que a maioria das ferramentas all-in-one usa) faz muito pouco pela tua reputação. Experimenta o MailReach Email Warmup.

Spam Test que te diz a verdade. Envia a tua campanha real através do spam test do MailReach e vê exatamente onde é entregue em mais de 30 caixas de correio. Não se trata de uma "pontuação de spam de 1 a 10" baseada na análise do teu email. É a colocação real na caixa de entrada em condições de envio reais. Também tens visibilidade sobre o estado de aprovação/reprovação de SPF, DKIM e DMARC, verificação de links, análise de palavras de spam e verificação de blacklists.

Diagnósticos de autenticação integrados. O MailReach deteta falhas de SPF e DKIM durante o warmup e os spam tests. Assim, se a tua autenticação falhar (após uma rotação, mudança de ferramenta ou alteração de DNS), ficas a saber antes que a deliverability caia, e não depois.

Criado para escalar. Gere centenas ou milhares de caixas de correio com monitorização de reputação por domínio, etiquetas, alertas e uma API. Se geres vários clientes, vários domínios ou um volume considerável de outreach, isto faz toda a diferença.

Se estás a perder reuniões porque os teus emails não estão a ser vistos, experimenta o MailReach.

Se estás aqui porque a conformidade te obrigou a rodar as tuas chaves, segue os passos acima.