Come configurare DKIM in Office 365: procedura passo passo

Da febbraio 2024, i requisiti di Gmail per l'invio massivo di email hanno reso obbligatoria l'autenticazione DKIM per qualsiasi dominio che invia più di 5,000 email al giorno agli utenti di Gmail. Yahoo segue la stessa regola nel suo migliori pratiche per il mittente. attuale statistiche sullo spam via e-mail Questo dimostra quanto siano aggressive le politiche dei principali provider in materia di filtraggio della posta non autenticata, il che significa che gli utenti di Microsoft 365 che non hanno DKIM abilitato stanno silenziosamente perdendo la possibilità di accedere alla propria casella di posta presso i due maggiori provider di posta elettronica al mondo.

La buona notizia è che configurare DKIM in Office 365 è un processo piuttosto semplice una volta che si sa dove cercare: apri il portale di Defender, genera i record CNAME, pubblicali nel DNS, abilita la firma e quindi verifica che la configurazione funzioni correttamente.

Prerequisiti per la configurazione di DKIM in Office 365

Oltre ai record configurati in modo errato, molti errori di configurazione di DKIM sono dovuti alla mancata esecuzione di un prerequisito. Microsoft richiede che il dominio sia verificato in Microsoft 365 prima di iniziare la configurazione di DKIM. Se il dominio non è stato verificato, non verrà visualizzato nella pagina delle impostazioni di DKIM.

Prima di iniziare, verifica che tutti e quattro i prerequisiti siano soddisfatti:

• Accesso come amministratore globale o amministratore della sicurezza: La pagina delle impostazioni DKIM non è disponibile per gli utenti standard o per gli amministratori con privilegi di sola lettura. Un amministratore della sicurezza può visualizzare la pagina, ma solo un amministratore globale può abilitare la firma DKIM.
• Un dominio personalizzato verificato in Microsoft 365: Apri l'interfaccia di amministrazione di Microsoft 365, vai su Impostazioni → Domini e verifica che il dominio sia contrassegnato come verificato. I domini non verificati non vengono visualizzati nell'elenco DKIM del portale Defender.
• Accesso alle impostazioni DNS del dominio: Dovrai pubblicare due record CNAME presso il provider DNS che gestisce il tuo dominio, come GoDaddy, Cloudflare, Namecheap, AWS Route 53 o un altro provider DNS.
• Un record SPF pubblicato per lo stesso dominio: Tecnicamente, SPF non è un requisito obbligatorio prima di DKIM, ma Microsoft consiglia di configurarli entrambi contemporaneamente. Se SPF non è ancora attivo, configurarlo prima di procedere con DKIM.

Come configurare DKIM in Office 365: procedura passo passo

I cinque passaggi seguenti richiedono dai 10 ai 15 minuti di lavoro attivo, più il tempo di propagazione DNS che varia da pochi minuti a 48 ore. Il tempo totale necessario affinché la firma DKIM diventi effettiva dipende quasi interamente dalla velocità con cui il provider DNS propaga le modifiche.

L'interfaccia utente del portale Microsoft Defender cambia regolarmente. I percorsi di navigazione riportati di seguito sono corretti al momento della stesura di questo documento, ma si consiglia di verificarli sempre sul portale in tempo reale in caso di differenze.

Passaggio 1: Accedi al portale di Microsoft Defender

Vai su security.microsoft.com ed effettua l'accesso con un account di amministratore globale per il tenant. Una volta effettuato l'accesso, verifica di trovarti nel tenant corretto controllando il nome del tenant visualizzato nell'angolo in alto a destra del portale. È facile trovarsi nel tenant sbagliato se gestisci più organizzazioni Microsoft 365.

Passaggio 2: accedere alla pagina delle impostazioni DKIM

Segui questo percorso di navigazione dal menu a sinistra:

Email e collaborazione → Norme e regole → Norme sulle minacce → Impostazioni di autenticazione email → DKIM

Se il percorso indicato sopra non corrisponde a quello che vedi, utilizza la barra di ricerca del portale e digita "DKIM". La pagina DKIM viene visualizzata direttamente dai risultati della ricerca, indipendentemente dalla sua posizione attuale nel menu di navigazione.

Una volta raggiunta la pagina DKIM, verrà visualizzato un elenco di domini. Questo include il dominio predefinito .onmicrosoft.com che Microsoft assegna a ogni tenant, oltre a tutti i domini personalizzati che sono stati verificati. I domini personalizzati vengono visualizzati qui solo dopo aver completato il processo di verifica nel Centro di amministrazione.

Passaggio 3: Genera i valori del record CNAME per il dominio personalizzato

Seleziona il tuo dominio personalizzato dall'elenco (non quello predefinito .onmicrosoft.com). Fai clic “Crea le chiavi DKIM.”

Microsoft genera due valori di record CNAME. Questi sono i record che pubblicherai nella tua zona DNS nel passaggio successivo. I due record utilizzano selector1._domainkey e selector2._domainkey come nomi host. L'utilizzo di due selettori è il modo in cui Microsoft ruota automaticamente le chiavi DKIM in background. Quando Microsoft passa a una nuova chiave, commuta tra i due selettori senza che sia necessario alcun intervento da parte tua.

Copia entrambi i valori CNAME esattamente come visualizzati nel portale. Gli errori di battitura nei valori CNAME sono spesso la causa del fallimento della configurazione DKIM. Copia i valori in un file di testo prima di passare al passaggio successivo, in modo da averli pronti per essere incollati.

Passaggio 4: Pubblicare i record CNAME nel DNS

Accedi al pannello di controllo del tuo provider DNS e apri la pagina di gestione DNS del tuo dominio personalizzato. Crea due nuovi record CNAME con i seguenti valori:

Registrazione 1:

• Host / Nome: selector1._domainkey
• Valore / Punta a: il primo valore CNAME copiato dal portale Defender
• TTL: 3600 (o il valore predefinito del tuo provider)

Registrazione 2:

• Host / Nome: selector2._domainkey
• Valore / Punta a: il secondo valore CNAME copiato dal portale Defender
• TTL: 3600 (o il valore predefinito del tuo provider)

Alcuni provider DNS richiedono il nome host completo, incluso il dominio (ad esempio, selector1._domainkey.yourdomain.com), mentre altri si aspettano solo il prefisso (selector1._domainkey). In caso di dubbi, consulta la documentazione del tuo provider. Inserire il nome completo quando è necessario solo il prefisso crea un duplicato che non verrà risolto correttamente.

Salva entrambi i record e attendi. La propagazione si completa in genere entro poche ore.

Passaggio 5: Abilitare l'accesso DKIM nel portale Defender

Torna alla pagina DKIM del portale Defender: Email e collaborazione → Norme e regole → Norme sulle minacce → Impostazioni di autenticazione email → DKIM.

Seleziona lo stesso dominio personalizzato che hai configurato nel passaggio 4. Attiva/Disattiva "Firma i messaggi per questo dominio con firme DKIM" su On.

Se l'interruttore restituisce un errore come "Il record CNAME non esiste per questa configurazione", i record DNS non sono ancora stati propagati ai server Microsoft. Questo è normale. Attendi da 1 a 24 ore e riprova. Non tentare di ricreare i record CNAME; probabilmente sono corretti e necessitano solo di più tempo per la propagazione.

Una volta attivata correttamente l'opzione, Microsoft 365 inizia immediatamente a firmare tutte le email in uscita dal dominio personalizzato con una firma DKIM.

Come verificare che DKIM funzioni correttamente in Office 365

L'attivazione di DKIM nel portale non garantisce necessariamente il suo corretto funzionamento nelle email in produzione. Utilizza due metodi di verifica contemporaneamente per confermare la correttezza della configurazione.

Ricerca esterna

Accedi allo strumento di verifica DKIM di MXToolbox. Inserisci il tuo dominio e seleziona selector1 come selettore. Un risultato positivo mostrerà la chiave pubblica pubblicata da Microsoft e confermerà il completamento della propagazione DNS. Ripeti l'operazione con selector2 per verificare che entrambi i selettori siano risolvibili.

Ispezione dell'intestazione dell'e-mail

Invia un'email di prova dal dominio personalizzato a una casella di posta esterna (Gmail, Yahoo o un indirizzo Outlook personale). Apri l'email e visualizza tutte le intestazioni del messaggio.

• In Gmail: Menu con tre puntini → "Mostra originale". In Outlook Web: menu con tre puntini → "Visualizza" → "Visualizza sorgente del messaggio".
• Nell'intestazione Authentication-Results, una firma DKIM riuscita mostra: dkim=passa [email protected]

Il dominio nel valore header.i= deve corrispondere al dominio di invio. Se l'intestazione mostra dkim=none o dkim=fail, la configurazione non funziona; consultare la sezione di risoluzione dei problemi riportata di seguito.

Errori comuni di configurazione di DKIM in Office 365 e come risolverli

Gli errori seguenti riguardano la maggior parte dei problemi di configurazione di DKIM negli ambienti Microsoft 365.

"Nessuna chiave DKIM salvata per questo dominio"

Diagnosticare: Le chiavi DKIM non sono ancora state generate per il dominio. L'opzione per abilitare la firma apparirà solo dopo che le chiavi saranno disponibili.

Fix: Seleziona il dominio nella pagina DKIM del portale Defender e fai clic “Crea le chiavi DKIM.” Il portale genera i due valori CNAME necessari per la pubblicazione. Se hai già effettuato questa operazione in una sessione precedente, le chiavi dovrebbero già esistere (verifica di essere sul dominio corretto nell'elenco).

"Il record CNAME non esiste per questa configurazione"

Diagnosticare: I record DNS non sono ancora stati pubblicati oppure non sono ancora stati propagati ai sistemi di rilevamento di Microsoft.

Fix: Verifica che i record CNAME siano visibili pubblicamente eseguendo una ricerca DNS con MXToolbox o DNS Checker utilizzando la query selector1._domainkey.yourdomain.com. Se i record sono visibili esternamente ma il portale continua a mostrare l'errore, attendi da 1 a 24 ore affinché i server Microsoft li rilevino. Se i record non sono visibili esternamente, contatta il tuo provider DNS e controlla i campi del nome host e del valore per eventuali errori di battitura, in particolare se il nome host include o esclude il dominio radice.

DKIM funziona correttamente su MXToolbox, ma Gmail mostra dkim=none

Diagnosticare: Il record DKIM è pubblicato correttamente nel DNS, ma Microsoft 365 non firma effettivamente i messaggi in uscita perché l'opzione di firma è ancora disattivata.

Fix: Torna alla pagina DKIM del portale Defender e verifica che l'interruttore "Firma i messaggi per questo dominio con firme DKIM" sia attivo. On per il dominio personalizzato. È possibile che l'interruttore non sia mai stato attivato o che sia stato disattivato a causa di un problema di sessione del portale. Attivalo e invia un'altra email di prova per verificare.

Il dominio personalizzato non viene visualizzato nella pagina delle impostazioni DKIM.

Diagnosticare: Il dominio non ha completato il processo di verifica nel Centro di amministrazione di Microsoft 365, pertanto non viene riconosciuto come dominio valido per il tenant.

Fix: Apri admin.microsoft.com, vai a Impostazioni → Dominie completare il processo di verifica del dominio. Questo comporta l'aggiunta di un record TXT al DNS per dimostrare la proprietà. Una volta che il dominio risulta verificato nel centro di amministrazione, appare nella pagina DKIM del portale Defender entro pochi minuti.

Abbinamento di DKIM a SPF e DMARC per l'autenticazione completa delle e-mail.

Il DKIM da solo non basta. I moderni provider di caselle di posta si aspettano tutto tre protocolli di autenticazione Per essere implementati, e in base alle regole del 2024 di Gmail e Yahoo per l'invio massivo di email, tutti e tre sono di fatto obbligatori per qualsiasi dominio che invii più di 5,000 email al giorno.

Ecco come i tre protocolli si dividono il lavoro di autenticazione:

• SPF Pubblica un elenco di indirizzi IP autorizzati a inviare email per conto del dominio. Impedisce ai server non autorizzati di inviare email che sembrano provenire da te.
• DKIM Aggiunge una firma crittografica a ogni email in uscita. I server riceventi verificano la firma confrontandola con la chiave pubblica nel DNS per confermare che il messaggio non sia stato alterato durante il transito.
• DMARC Indica ai server di posta riceventi cosa fare in caso di errore di SPF o DKIM: mettere in quarantena il messaggio, rifiutarlo o consegnarlo comunque e segnalarne il risultato.

Senza DMARC, un messaggio che non supera i controlli SPF e DKIM potrebbe comunque raggiungere la casella di posta in arrivo, poiché non esiste alcuna policy che indichi al destinatario di intervenire in caso di errore. Una protezione completa della casella di posta in arrivo richiede che tutti e tre i protocolli funzionino in sinergia.

Una volta verificato il corretto funzionamento di DKIM e SPF, pubblica un record DMARC su _dmarc.yourdomain.com. Inizia con p=none per raccogliere report aggregati per 2-4 settimane, passa a p=quarantine una volta che l'allineamento è stabile, quindi passa a p=reject per l'applicazione completa. Questa progressione è il modo in cui migliorare la reputazione del mittente tramite autenticazione senza mettere a rischio la posta legittima.

Tuttavia, l'autenticazione non risolve i problemi di mancata consegna da indirizzi non validi. Sebbene DKIM confermi che un'email provenga dal tuo dominio, non impedisce la mancata consegna se la casella di posta del destinatario non esiste. Forte reputazione del mittente della posta elettronica dipende sia dall'autenticazione che dalla qualità dell'elenco che lavorano insieme. Strumenti come DeBounce Convalida dell'elenco e-mail ti aiutiamo a rimuovere gli indirizzi che hanno maggiori probabilità di generare messaggi non recapitati e reclami.

Una corretta gestione del DKIM ripaga

La configurazione di DKIM in Office 365 prevede la generazione dei record CNAME nel portale di Defender, la loro pubblicazione nel DNS, l'attesa della propagazione, l'abilitazione della firma e la verifica tramite le intestazioni delle e-mail. L'operazione vera e propria richiede dai 10 ai 15 minuti. L'attesa (per la propagazione nel DNS) è l'unica fase che non è possibile accelerare.

Abbina DKIM a SPF, DMARC e a una gestione costante della qualità delle liste per proteggere al meglio la deliverability delle tue email, in conformità con i requisiti di autenticazione che Gmail, Yahoo e Microsoft ora impongono su larga scala.

Prima della tua prossima campagna importante, convalida la tua lista di invio con DeBounce. Carica i tuoi contatti, rimuovi gli indirizzi contrassegnati come non validi, temporanei o ad alto rischio e invia con la certezza che una solida autenticazione e una lista pulita ti offrono le migliori possibilità di raggiungere la casella di posta del destinatario.