Rodar a chave DKIM

Uma chave DKIM não tem prazo de validade, e uma chave RSA de 2048 bits não se parte por estar velha, por isso não é coisa em que penses muitas vezes. Quando a chave muda, seja porque a iniciamos nós com calendário próprio ou porque a inicias tu, o envio nunca pára: a chave nova é preparada e esperada antes de passar a assinar, e a antiga continua a assinar até lá.

O que isto te pede depende de como o teu DKIM está publicado.

Se o teu DKIM está delegado ao C-Connect (a opção por omissão)

Nada. Publicaste dois CNAMEs uma vez, quando adicionaste o domínio, e a chave por trás deles muda do nosso lado sem voltares a mexer no teu DNS. Rodamos uma chave delegada por nossa conta, cerca de uma vez por ano, e não há nada para fazeres: os CNAMEs já apontam para os dois sítios onde uma chave tua alguma vez vive.

Também podes iniciar uma rotação tu, a partir da página do domínio, se tiveres um motivo para isso. Preparamos a chave nova no nome para onde o teu segundo CNAME já aponta, esperamos que fique acessível, e só depois trocamos para ela. O envio continua com a chave actual durante todo esse tempo.

A única excepção é um domínio que envia apenas pelo nosso relay de recurso. Rodar a chave desse domínio obriga a pedir à Amazon que reverifique a chave nova, o que leva horas, e não há maneira de o fazer sem uma janela em que o recurso fica indisponível para esse domínio. Esses rodamo-los à mão em vez de no calendário anual, e iniciar uma tu próprio também está desligado; se é o teu caso, fala connosco sobre o momento certo.

Se publicas a chave tu próprio

Quando chega a altura de uma chave nova, sejamos nós ou sejas tu a iniciá-la, geramos o par e mostramos-te a chave privada uma única vez, nesse ecrã. O que publicas é a metade pública, como um registo novo num nome novo, que o painel te mostra: não o que já tens, porque a chave antiga continua a assinar até a nova estar confirmada, e um registo não pode fazer as duas coisas ao mesmo tempo.

Nome:  cs202610._domainkey.mail.empresa.pt
Tipo:  TXT
Valor: v=DKIM1; k=rsa; p=MIIBIjANBgkqhki...

O envio não pára enquanto fazes isto. Continuamos a assinar com a chave actual até vermos o registo novo publicado e a resolver, e só depois trocamos. Não há nenhum momento em que uma mensagem saia assinada com uma chave que ainda ninguém consegue consultar.

Depois de trocarmos, o registo antigo pode ficar no teu DNS mais uns dias, e deve: as mensagens enviadas antes da troca continuam a ser verificadas contra ele quando alguém as reencaminha ou um filtro as reavalia.

Quando iniciar uma tu próprio

• A chave privada foi exposta, ou suspeitas que possa ter sido.
• Uma política interna obriga a rotação periódica.

Fora isso, não precisas: já mudamos a chave cerca de uma vez por ano por nossa conta, sem nada para fazeres a não ser que a publiques tu próprio.

Depois

Confirma em Mensagens que as primeiras mensagens depois de uma mudança estão a ser entregues, e não só aceites. Se um destino grande começar a adiar depois de uma que publicaste tu, espera pela propagação em vez de publicares outra vez.