Problemas ao configurar registos CNAME

Domain Keys Identified Mail (DKIM) é um método de autenticação de e-mail que verifica criptograficamente se um e-mail foi enviado por servidores de confiança e não foi adulterado.

Este artigo explica o que são o DKIM e o CNAME, antes de descrever os passos que deve seguir se a verificação do DKIM falhar ao tentar adicionar registos CNAME ao seu domínio personalizado no Proton Mail(nova janela).

Como funciona o DKIM?

Quando um servidor envia um e-mail do seu domínio, calcula um hash encriptado do conteúdo do e-mail utilizando uma chave privada (que apenas os servidores de confiança conhecem) e adiciona-o aos cabeçalhos do e-mail como uma assinatura DKIM.

O servidor recetor irá verificar o conteúdo do e-mail ao consultar a chave pública correspondente nos registos DNS do seu domínio, desencriptando o hash encriptado e calculando um novo hash com base no conteúdo do e-mail recebido para verificar se o hash desencriptado corresponde ao novo hash. Se houver uma correspondência, o e-mail não sofreu alterações e, como tal, o DKIM passa. Caso contrário, o DKIM falha e o e-mail é tratado com desconfiança.

O que são os registos CNAME?

Recomendamos que adicione ao Proton Mail três registos anti-spoofing: SPF, DKIM e DMARC. Utilizamos registos CNAME para gerir a rotação automática de chaves DKIM, o que é uma prática recomendada de segurança aceite. Isto garante que existe sempre uma chave ativa utilizada para fornecer um serviço ininterrupto, enquanto as outras chaves são automaticamente desativadas e recriadas regularmente para uma maior segurança.

Consulte Apresentação da gestão de chaves DKIM para uma análise mais detalhada deste assunto.

Os registos CNAME que adicionar às definições de DNS dos seus domínios têm de corresponder exatamente aos apresentados no seu assistente de configuração. Assim que detetarmos estes registos nas definições de DNS do seu domínio, o ícone do separador DKIM na página de configuração de Editar domínio ficará verde. Iremos então notificá-lo e começar a assinar os e-mails enviados a partir do seu domínio personalizado com o DKIM, tal como fazemos para outros endereços do Proton Mail.

O que fazer se a verificação do DKIM falhar

Existem três razões possíveis para a falha da verificação do DKIM:

1. Introduziu um valor CNAME incorreto nas definições de DNS do seu domínio.

Isto é improvável se copiou e colou os valores da nossa página de configuração Editar domínio, mas vale sempre a pena verificar. Aceda a Definições -> Todas as definições -> Nomes de domínio -> prima o botão Rever ao lado do domínio -> separador DKIM para ver os valores necessários.

Os registos CNAME que adicionar às definições de DNS dos seus domínios têm de ser uma correspondência exata com os apresentados no seu assistente de configuração.

2. Alguns agentes de registo não aceitam valores CNAME com um ponto final no fim.

Enquanto outros o exigem. Se o seu agente de registo não aceitar os seus registos CNAME com um ponto final no fim, por favor elimine o ponto final no fim de cada valor CNAME e tente novamente.

3. Tem um registo DKIM existente como TXT que tem de ser eliminado.

Se configurou anteriormente a rotação manual de chaves DKIM para o seu domínio utilizando um registo TXT, tem de remover este registo das definições de DNS antes de introduzir os registos CNAME. Tem de reconfigurar as suas definições de DNS com registos CNAME porque estes permitem que o Proton Mail configure a rotação automática de chaves, ao passo que o seu registo TXT atual não o permite.

Assim que tiver eliminado este registo TXT, poderá seguir as instruções para novos utilizadores. O DKIM deixará de assinar os seus e-mails assim que eliminar o registo TXT. Para manter a proteção DKIM, deve introduzir os seus nomes de hospedeiro CNAME e respetivos valores nas suas definições de DNS imediatamente.

Aconselhamos vivamente todos os que utilizam atualmente a rotação manual de chaves DKIM a atualizar para o novo sistema de rotação automática de chaves. Isto não só eliminará a necessidade de rodar as suas chaves manualmente, como também atualizará automaticamente a força das suas chaves se estiver a utilizar chaves de 1024 bits.