Todos os guias · Atualizado: 2026-10-18

DKIM no Google Workspace: assinar os teus emails com o teu domínio

Verificámos 1 500 sites de pequenos negócios (lojas Shopify, sites Wix e apps na Vercel). Em metade dos que têm o email no Google Workspace, o DKIM nunca foi ligado. Foi o problema de email mais comum que encontrámos, e corrige-se em cerca de 10 minutos, mais a espera do DNS.

Sem DKIM no teu domínio, o Google assina os teus emails com um domínio dele. Essa assinatura nunca corresponde ao teu, por isso a proteção contra emails falsos (o DMARC) fica só com o SPF, que falha quando uma mensagem é reencaminhada.

Antes de começar

Precisas de uma conta de administrador do Google Workspace e de acesso ao sítio onde geres o DNS do domínio: onde compraste o domínio, a Cloudflare, o Wix…

Se ligaste o Gmail há menos de 3 dias, espera: o Google só dá a chave DKIM 24 a 72 horas depois.

Passo 1: gerar a chave na consola do Google

Entra em admin.google.com com a conta de administrador.
Abre Menu › Apps › Google Workspace › Gmail › Autenticar email (Authenticate email).
Escolhe o domínio e carrega em Gerar novo registo (Generate new record).
No comprimento da chave, escolhe 2048. Só escolhe 1024 se o teu fornecedor de DNS não aceitar chaves longas. Deixa o prefixo google.
Carrega em Gerar (Generate). O Google mostra o nome do registo e um valor comprido que começa por v=DKIM1.

Passo 2: pôr o registo no DNS

No sítio onde geres o DNS, adiciona um registo TXT:

Tipo: TXT
Nome (anfitrião): google._domainkey
Valor: v=DKIM1; k=rsa; p=MIIBIjANBgkqh… (o valor inteiro que o Google mostrar)

Copia o valor inteiro: é longo e às vezes não cabe no ecrã. Na maior parte dos painéis escreve-se só google._domainkey no nome, e o domínio é acrescentado sozinho.

Cloudflare: DNS › Records › Add record, tipo TXT.
Outros fornecedores: procura «adicionar registo TXT» na ajuda deles.

Alguns fornecedores limitam o tamanho de um registo TXT. Se o teu recusar o valor, volta ao passo 1 e gera uma chave de 1024 bits.

Se o DNS do teu domínio está no Wix: o guia do Wix

Passo 3: ligar a autenticação

Volta à consola do Google, à mesma página, e carrega em Iniciar autenticação (Start authentication). Quando estiver a funcionar, o estado no topo da página muda para «A autenticar email com DKIM» (Authenticating email with DKIM).

Este é o passo que mais se esquece. Sem ele, a chave fica publicada mas os teus emails continuam a sair sem a tua assinatura. O DNS pode demorar até 48 horas: se o Google ainda não encontrar o registo, tenta mais tarde.

Passo 4: confirmar que funciona

Envia um email da tua conta para uma conta Gmail. Abre-o, carrega nos três pontos › Mostrar original (Show original) e procura a linha do DKIM: deve dizer PASS com o teu domínio.

Também podes verificar o domínio aqui. Se o aviso «O Google Workspace não assina o teu email com o teu domínio» desaparecer, a chave está publicada.

Erros que vemos muitas vezes

A chave publicada no DNS, mas sem o clique em «Iniciar autenticação».
O valor copiado só em parte, porque não cabia no ecrã.
O domínio escrito no nome do registo e repetido pelo painel. Basta google._domainkey.
Uma chave antiga de 1024 bits. Funciona, mas o Google recomenda 2048: troca-a quando tiveres tempo, não é urgente.

E depois do DKIM?

Com o DKIM e o SPF certos, o passo seguinte é pôr o DMARC a travar os emails falsos: passar de p=none para p=quarantine, sem perder emails pelo caminho.

De p=none para p=quarantine, passo a passo

Para não teres de voltar a verificar

Uma mudança de fornecedor de email ou um registo apagado por engano bastam para a assinatura deixar de funcionar, e ninguém dá por isso. O Excubitor pode vigiar o domínio todas as semanas e escrever-te só quando algo muda. Grátis para 1 domínio: faz a verificação e carrega em «Avisa-me».