Tamanho da chave DKIM

O que significa

A RFC 8301 (2018) definiu o piso: os assinantes devem usar chaves RSA de pelo menos 1024 bits e deveriam usar pelo menos 2048, e quem verifica deve aceitar chaves de 1024 a 4096 bits e rejeitar qualquer coisa abaixo de 1024. A mesma atualização tornou o rsa-sha256 obrigatório e aposentou o rsa-sha1, que não pode mais ser usado para assinar nem para verificar.

O Gmail exige uma chave de 1024 bits ou mais para e-mail enviado a contas pessoais do Gmail e recomenda 2048 bits quando o provedor de DNS aceita; o guia de configuração dele mantém 1024 como opção para provedores que não conseguem guardar chaves mais longas.

O tamanho da chave fica visível para qualquer um: consulte o registro do seletor e meça o valor de p=. Uma chave de 2048 bits precisa ser dividida em strings TXT, o que alguns provedores de DNS não aceitam. Chaves Ed25519, com 256 bits, são bem mais curtas e cabem em uma string.