Scrivevo ieri di come l'adozione di DKIM sia molto meno diffusa rispetto al "cugino" SPF, complice, probabilmente, il maggiore impatto tecnico che ha la sua implementazione da parte dei mittenti.

Oltre a questo vorrei aggiungere alcune anomalie nelle quali mi sono imbattuto:

Yahoo.com, fautore della specifica DomainKeys che ha poi dato vita a DKIM, applica una firma errata ai messaggi in formato testo semplice inviati dalla sua webmail (sbaglia il calcolo del bodyhash).

MySpace.com, con la sua nuova webmail, firma con DKIM le email uscenti, ma pubblica un record DNS sintatticamente errato (notate le troppe barre inverse di escaping):

pmta._domainkey.myspace.com descriptive text "k=rsa\\\; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQChRebhcm4h8BkIYHRxg1GlKLsDkwdrqkFJ8f88xHQ5Gf3NH4I4e06M3XQ+B4tWWK/rX0srwXFgrJPzKZK+x7gN89nmqyM+NNaM+Wm2C0GjTpx6639zK3bAAGYCm0L9lGD7PgDxpWok+YogH0Ml4acEwDw/cnhErAWAnX8doPliawIDAQAB"

Mediapost.com e Ign.com firmano le loro newsletter con DKIM ma entrambi pubblicano un record DNS con il valore "g=;" che di fatto rende la chiave inutilizzabile per qualunque indirizzo. Dovrebbe essere g=*; oppure essere omesso perchè la chiave sia considerabile valida.

Gmail.com firma le email in uscita ma attenzione: se siete utenti di Google Apps e quindi fate gestire a google un vostro dominio oppure se semplicemente utilizzate più di un account ("Invia messaggio come..") per poter spedire dalla vostra casella con dominio differente da gmail.com allora i vostri messaggi non verranno più firmati.

Un paio di ESP italiani, dei quali non faccio il nome per correttezza, mi hanno inviato in questi mesi varie email con firma DKIM errata.

Come vedete i problemi ci sono e anche da parte di grossi player del settore. Fortunatamente la specifica DKIM obbliga a considerare una email con firma errata alla stregua di una mail senza firma e quindi nessuno dovrebbe, in ricezione, penalizzare le email coinvolte dai problemi elencati. Purtroppo temo che, come in così tanti hanno sbagliato a leggere la specifica nell'implementare la firma, altrettanti sbaglieranno a leggere la specifica e valuteranno una firma errata come spamming o qualcosa di simile.