Rotação de chaves DKIM: o guia sincero (e por que razão a maioria dos remetentes não conhecidos não precisa dela)

A maioria dos artigos sobre a rotação de chaves DKIM afirma que se trata de algo essencial, urgente e inegociável para que os e-mails cheguem à caixa de entrada. Isso serve para promover os painéis de controlo do DMARC. Mas não reflete a realidade.

Eis a verdade. A rotação da chave DKIM existe para que uma chave privada roubada ou desvendada não possa ser utilizada indevidamente de forma indefinida. Para empresas com requisitos de conformidade rigorosos, setores regulamentados ou domínios que tenham sido comprometidos, a rotação é importante. Para uma equipa de abordagem a frio B2B que realiza campanhas a partir de um punhado de caixas de entrada do Google Workspace ou do Microsoft 365? Na maioria dos casos, é um exagero. A colocação das vossas mensagens na caixa de entrada não muda pelo facto de terem rodado a vossa chave no último trimestre.

Este guia destina-se a quem realmente precisa de o fazer ou a quem quer saber o que isso implica, na prática, antes de decidir que não vale a pena investir tempo de engenharia nisso. Vamos abordar o que é a rotação de chaves DKIM, quem deve preocupar-se com isso, como fazê-lo nos dois fornecedores mais importantes e em que se deve realmente concentrar se os seus e-mails estiverem a ser encaminhados para a pasta de spam.

O que é a rotação de chaves DKIM?

O DKIM (DomainKeys Identified Mail) assina todos os e-mails enviados com uma assinatura criptográfica. Uma chave privada, na posse do seu fornecedor de e-mail, assina a mensagem. Uma chave pública correspondente, publicada no seu DNS como um registo TXT sob um «seletor», permite que os servidores de receção verifiquem se a assinatura é autêntica e se a mensagem não foi adulterada durante o trânsito.

A rotação da chave DKIM consiste no processo de substituição desse par de chaves por um novo. O funcionamento:

1. Gerar uma nova chave privada e pública
2. Publicar a nova chave pública no DNS sob um novo seletor
3. Altere a configuração do seu sistema de envio para que assine com a nova chave privada
4. Retirar o seletor antigo após um período de sobreposição seguro

É isso mesmo.

A razão pela qual esta prática existe é a segurança. As chaves privadas DKIM são segredos criptográficos. Se uma delas for divulgada, for copiada durante uma migração de infraestrutura ou simplesmente ficar sem ser utilizada durante anos com um comprimento de chave fraco de 1024 bits, um atacante que a obtenha poderá assinar e-mails em nome do seu domínio. A rotação periódica da chave limita o alcance do dano. É esse o objetivo.

Para saber como o DKIM se enquadra na pilha de autenticação mais ampla, consulte o nosso guia sobre SPF, DKIM e DMARC.

É mesmo necessário alternar as suas chaves DKIM?

Antes de abordarmos o processo, sejamos sinceros quanto às pessoas a quem isto diz respeito.

Provavelmente não é necessário alternar as chaves DKIM se:

• Faz campanhas de abordagem não solicitada B2B a partir de algumas caixas de entrada do Google Workspace ou do Microsoft 365
• As suas chaves já têm 2048 bits e foram configuradas corretamente
• Não há motivos para acreditar que a sua infraestrutura de DNS ou de e-mail tenha sido alvo de uma violação
• Não está sujeito a quadros de conformidade que imponham a rotação

Provavelmente, terá de rodar as chaves DKIM se:

• É responsável pela gestão da infraestrutura de e-mail de uma empresa que envia grandes volumes de mensagens através de várias plataformas
• A sua organização segue quadros de conformidade como o PCI DSS, o HIPAA ou o SOC 2, que exigem a rotação de chaves
• Ainda está a utilizar chaves antigas de 1024 bits, que são cada vez mais consideradas pouco seguras
• Ocorreu um incidente de segurança, uma fuga de credenciais ou uma violação de segurança por parte de um fornecedor que possa ter exposto a sua chave privada DKIM
• Está a mudar de fornecedor de e-mail e precisa de desativar de forma organizada a antiga infraestrutura de assinatura

O M3AAWG (Grupo de Trabalho contra Abusos em Mensagens, Malware e Dispositivos Móveis) publica o documento de melhores práticas mais citado sobre este tema. A sua recomendação: efetuar a rotação pelo menos a cada 6 meses para organizações com programas de segurança bem estabelecidos. Essa orientação destina-se a grandes remetentes.

Se fazes parte do primeiro grupo, podes parar de ler e ir resolver algo que tenha realmente impacto na localização das tuas mensagens na caixa de entrada. Temos sugestões para isso mais abaixo. Se fazes parte do segundo grupo, continua a ler.

‍

A rotação das chaves DKIM melhora a capacidade de entrega de e-mails?

Resposta curta: não.

Alguns artigos dir-lhe-ão que sim. Mas a verdade é que a capacidade de entrega de e-mails no âmbito de abordagens não solicitadas depende de três fatores:

1. A reputação do remetente, que é determinada pelo envolvimento (aberturas, respostas, queixas de spam)
2. Conteúdo do e-mail, que inclui os seus links, pixels de rastreamento, HTML, texto, anexos e assinaturas
3. Configuração de envio, que inclui a sua autenticação (SPF, DKIM, DMARC) e o seu fornecedor

A rotação do DKIM encontra-se no terceiro grupo. E apenas de forma muito restrita.

Desde que o seu DKIM seja válido, devidamente assinado e corresponda ao seu domínio «De», os fornecedores de correio eletrónico não se importam se a chave tem 3 meses ou 3 anos. Eles verificam a assinatura, confirmam a mensagem e seguem em frente. A rotação de uma chave válida de 2048 bits para uma nova chave válida de 2048 bits não altera nada na forma como o Gmail ou o Outlook tratam o seu correio.

O que realmente determina a entrega na caixa de entrada é se o seu DKIM foi configurado corretamente desde o início, se se mantém válido ao longo do tempo e se a sua reputação como remetente é suficientemente sólida para que os fornecedores de serviços de e-mail queiram, de facto, entregar as suas mensagens.

A rotação faz parte das boas práticas de segurança. Não é um fator determinante para a capacidade de entrega.

Como alternar as chaves DKIM (por fornecedor)

O funcionamento varia consoante o fornecedor. Eis como as três configurações mais utilizadas pelas equipas B2B lidam com esta situação.

Rotação de chaves DKIM no Microsoft 365

O Microsoft 365 facilita este processo mais do que qualquer outro grande fornecedor, uma vez que utiliza dois registos CNAME (selector1 e selector2) que apontam para chaves geridas pela Microsoft no backend. Não é necessário gerar nem publicar novas chaves; isso é feito pela Microsoft.

Para ativar a rotação:

1. Inicie sessão no portal do Microsoft 365 Defender
2. Aceda a «E-mail e colaboração» e, em seguida, a «Políticas e regras»
3. Clique em «Políticas de ameaças» e, em seguida, em «Definições de autenticação de e-mail»
4. Abra o separador «DKIM» e selecione o seu domínio
5. Clique em «Rodar chaves DKIM»

Depois de iniciar a rotação, a Microsoft não muda a assinatura de imediato. A nova chave entra em vigor ao longo de um período de até 96 horas, durante o qual ambas as chaves podem assinar e-mails. Não é necessário alterar o DNS, desde que os registos CNAME já estejam definidos.

Se tiver configurado o DKIM através de registos TXT diretos em vez de CNAMEs (configurações mais antigas), terá de migrar primeiro para a abordagem CNAME. Para obter informações completas sobre a configuração inicial, consulte o nosso guia de configuração do DKIM para o Office 365.

Rotação de chaves DKIM no Google Workspace

A rotação no Google Workspace é mais manual. Não existe um mecanismo automático nem um seletor de segunda chave integrado. O utilizador gera a nova chave, publica-a no DNS e efetua a mudança de assinatura por conta própria.

Os passos:

1. Inicie sessão na Consola de Administração do Google
2. Vá a «Menu», depois a «Aplicações», depois a «Google Workspace» e, por fim, ao «Gmail»
3. Clique em «Autenticar e-mail»
4. Selecione o domínio que pretende alternar
5. Clique em «Gerar novo registo» e selecione 2048 bits como comprimento da chave
6. Copie o valor do novo registo TXT
7. Publique o novo registo TXT no DNS com um novo nome de seletor (não substitua o antigo)
8. Aguarde a propagação do DNS (normalmente demora menos de uma hora, mas, por precaução, aguarde até 24 horas)
9. Volte à Consola de Administração e clique em «Iniciar autenticação» para ativar a nova chave
10. Após, pelo menos, 7 dias a verificar se a nova chave está a assinar corretamente, remova o antigo registo TXT do DNS

O período de sobreposição de 7 dias não é opcional. As mensagens que já se encontram em trânsito ou nas filas dos destinatários podem ainda ser verificadas com a chave antiga. Se o registo antigo for retirado demasiado cedo, essas mensagens não passarão na verificação DKIM.

Se ainda estiver na fase de configuração inicial, o nosso guia de configuração do DKIM do Google Workspace aborda esse assunto.

Rotação de chaves DKIM para plataformas de envio de terceiros

Se enviar através do Mailgun, SendGrid, Amazon SES, Brevo ou serviços semelhantes, cada plataforma gere a rotação de forma diferente. Algumas fazem a rotação automaticamente (o Mailgun faz a rotação a cada 120 dias, por predefinição). Outras exigem que a rotação seja acionada manualmente através do respetivo painel de controlo. Outras ainda exigem que seja o próprio utilizador a gerar a chave e a atualizar o DNS manualmente.

Consulte a documentação da plataforma. O procedimento é sempre o mesmo:

1. Gerar novas chaves
2. Publicar sob um novo seletor
3. Execute ambos em paralelo durante a transição
4. Retire o seletor antigo após um período de drenagem comprovado

Nunca reutilize nomes de seletores. As mensagens assinadas mais antigas que ainda estejam em trânsito não passarão na verificação com uma nova chave com o mesmo nome de seletor. Essa é a forma mais fácil de causar problemas.

‍

Frequência de rotação do DKIM: com que frequência se deve efetuar a rotação?

Não existe uma resposta única e correta. Eis uma comparação entre as principais orientações.

A razão pela qual as equipas de abordagem a frio se encontram no fundo desta tabela não é o facto de estarem isentas das melhores práticas de segurança. A razão é que o modelo de ameaças é diferente. Se estiver a gerir 20 caixas de correio para campanhas de envio, a sua chave privada DKIM não é um alvo de alto valor, tal como o é a chave de assinatura raiz de uma empresa da Fortune 500. Os ciclos de rotação concebidos para modelos de ameaças empresariais não se aplicam de forma clara a configurações de contacto B2B de menor dimensão.

Se a sua equipa tiver capacidade para tal e quiser fazê-lo na mesma, de seis em seis meses está bem. Trimestralmente é uma abordagem conservadora. Anualmente é aceitável para configurações de baixo risco. Não existe um número mágico.

Melhores práticas para a rotação de chaves DKIM

Se decidiu que a rotação faz parte do seu programa de segurança, eis as práticas que evitam que ela cause problemas.

Utilize chaves de 2048 bits. O padrão de 1024 bits é considerado fraco segundo os padrões criptográficos atuais. Já foram descifradas chaves de 512 bits em ambientes de computação na nuvem por menos de 10 dólares. Qualquer valor inferior a 2048 bits constitui um risco.

Durante a transição, utilize sempre dois seletores em paralelo. Gere a nova chave, publique-a num novo seletor, deixe que a assinatura seja migrada e, em seguida, aguarde. Não elimine o antigo registo DNS durante, pelo menos, 7 dias após a transição. Os e-mails em trânsito ou em fila noutro local continuarão a tentar verificar a autenticidade com base na chave antiga.

Nunca reutilize nomes de seletores. Se eliminar um seletor e voltar a publicar uma chave com o mesmo nome, qualquer e-mail anterior assinado com a chave original não passará na verificação DKIM. O DNS devolve uma chave pública diferente daquela que assinou a mensagem. Utilize nomes baseados na data ou na versão, como «mail202607» ou «selector-v3».

Verifique se a nova chave está efetivamente a assinar antes de retirar a antiga. Envie e-mails de teste. Verifique o cabeçalho «Authentication-Results» numa mensagem recebida. Confirme que «dkim=pass» e que os valores «d=» e «s=» correspondem ao seu novo seletor. Utilize um verificador DKIM para confirmar que o registo está corretamente publicado e pode ser analisado.

Alterne um fluxo de envio de cada vez. Se a sua organização utilizar plataformas distintas para o envio de e-mails transacionais, de marketing e de apoio ao cliente, alterne-as sequencialmente, em vez de simultaneamente. Desta forma, o alcance do envio em massa permanece controlado caso ocorra alguma falha.

Documente tudo. Registe quais os seletores que estão ativos, quais as chaves que assinam quais os fluxos e quando é que cada rotação ocorreu. Sem documentação, quem quer que seja que venha a mexer no seu DNS herdará uma confusão que não conseguirá resolver com segurança.

Acompanhe os relatórios DMARC durante e após a rotação. Os seus relatórios DMARC agregados serão o sinal mais rápido de que algo não está bem. Se não os estiver a analisar, só irá detetar o problema quando a taxa de entrega na caixa de entrada começar efetivamente a diminuir.

Erros comuns na rotação de chaves DKIM

As falhas que observamos com mais frequência:

Eliminar o antigo registo TXT imediatamente após a mudança do método de assinatura. Esta é a causa mais comum de falhas no DKIM após a rotação. As mensagens em trânsito, as mensagens em fila e as mensagens que estão a ser verificadas com algum atraso falham todas. Deixe o registo antigo ativo durante, pelo menos, uma semana após a migração do método de assinatura.

Reutilização de nomes de seletores. Tal como acima. Isto compromete a verificação de qualquer e-mail assinado mais antigo.

É importante ter em conta que a propagação do DNS é um processo real. A publicação de um novo registo TXT não o torna imediatamente disponível em todo o lado. Os resolvedores armazenam os dados em cache. Alguns sistemas DNS a montante demoram mais tempo do que outros. Aguarde a propagação antes de ativar a assinatura.

Tratar a rotação como uma solução para a entregabilidade quando o verdadeiro problema está noutro lado. Isto é importante. Se os seus e-mails estiverem a ir parar à pasta de spam, a rotação não vai resolver o problema. A classificação como spam é um problema relacionado com a reputação do remetente, o conteúdo ou a configuração do envio. Não é um problema relacionado com a idade da chave. Quem procura a solução errada perde semanas.

Iniciar a rotação do Microsoft 365 antes de verificar se os registos CNAME estão definidos. Se o DKIM do M365 tiver sido configurado através de registos TXT (método mais antigo), o botão de rotação no portal não funcionará corretamente. Migre primeiro para os registos CNAME.

Se quiser saber mais, consulte o nosso artigo «Falha no DMARC: por que acontece e como resolver» para obter orientações sobre a resolução de problemas relacionados.

Onde as equipas de e-mail de abordagem a frio devem realmente concentrar-se

Se chegou a este artigo porque as suas mensagens de contacto não estão a chegar às caixas de entrada, a rotação da chave DKIM não é a solução.

O que realmente faz a diferença:

• A reputação do remetente baseia-se no envolvimento real. Isso significa receber interações positivas das caixas de entrada do Google Workspace e do Microsoft 365, os dois fornecedores que detêm a maior parte do mercado de caixas de correio. As interações SMTP personalizadas não fazem a diferença. É por isso que a forma como o « email warmup » funciona é tão importante para o B2B
• Conteúdo limpo, sem links agressivos, pixels de rastreamento ou anexos que ativem filtros
• Uma configuração de envio válida com SPF, DKIM e DMARC alinhada com o seu domínio «De»
• Disciplina em termos de volume. Não mais do que 100 e-mails não solicitados por dia por caixa de entrada no Google Workspace ou no Microsoft 365
• Testes reais de colocação na caixa de entrada. Envio em condições reais para uma lista de caixas de entrada de teste em vários fornecedores de e-mail, e não ferramentas de avaliação de spam com um único endereço que lhe atribuem uma pontuação de 10/10, enquanto os seus e-mails reais vão parar à pasta de spam

Se o DKIM que configurou há dois anos ainda estiver válido, continuar a ter 2048 bits e continuar a ser aprovado nos seus relatórios DMARC, não lhe toque. Corrija o que está realmente com problemas.

‍

Como o MailReach ajuda no que realmente importa

O MailReach foi concebido para os aspetos da capacidade de entrega que afetam efetivamente o contacto não solicitado. Não aqueles que ficam bem num slide de auditoria de segurança.

Email warmup que contribui para construir uma reputação real do remetente. A nossa rede de aquecimento ponto a ponto conta com mais de 30 000 caixas de entrada, na sua maioria contas reais do Google Workspace e do Microsoft 365. A pontuação média de reputação da nossa rede é de 95,17/100. Por que é que isto é importante: as interações positivas só contam quando provêm de caixas de entrada nas quais os principais fornecedores confiam efetivamente. Receber interações de uma rede repleta de contas SMTP personalizadas (que é aquilo em que a maioria das ferramentas «tudo-em-um» se baseia) contribui muito pouco para a sua reputação. Experimente o MailReach Email Warmup.

Um teste de spam que lhe diz a verdade. Envie a sua campanha real através do teste de spam do MailReach e veja exatamente onde ela é colocada em mais de 30 caixas de entrada. Não se trata de uma «pontuação de spam numa escala de 10» baseada na análise do seu e-mail. Trata-se da colocação real na caixa de entrada em condições reais de envio. Também terá visibilidade sobre o estado de aprovação/reprovação de SPF, DKIM e DMARC, verificações de links, análise de palavras de spam e verificações de listas negras.

Diagnóstico de autenticação integrado. O MailReach deteta falhas de SPF e DKIM durante a fase de aquecimento e nos testes de spam. Assim, se a sua autenticação deixar de funcionar (após uma rotação, uma mudança de ferramenta ou uma alteração no DNS), fica a saber antes de a capacidade de entrega diminuir, e não depois.

Concebido para escalar. Faça a gestão de centenas ou milhares de caixas de correio com acompanhamento da reputação por domínio, etiquetas, alertas e uma API. Se gere vários clientes, vários domínios ou um volume significativo de comunicações, isto é importante.

Se está a perder reuniões porque os seus e-mails não estão a ser lidos, experimente o MailReach.

Se está aqui porque o departamento de conformidade lhe pediu para fazer a rotação das chaves, siga os passos acima.