DKIM

Guía para configurar el registro DKIM

Cómo funciona la firma DKIM, por qué sobrevive al reenvío cuando SPF no, y cómo rotar una clave de forma segura.

Generador de registros DKIMPruébelo en su propio dominio primero. Gratis, sin cuenta.

¿Qué es DKIM?

DKIM (DomainKeys Identified Mail) agrega una firma criptográfica a cada mensaje que envías. El servidor receptor la verifica contra una clave pública publicada en tu DNS, lo que demuestra que el mensaje realmente salió de tu dominio y no fue alterado en tránsito.

Cómo ayuda DKIM a la entregabilidad

DKIM es una de las tres comprobaciones de autenticación (junto con SPF y DMARC) que usan los proveedores de buzones para decidir si confían en tu correo. Se necesita una firma DKIM válida para pasar DMARC por alineación, y Google y Yahoo ahora la exigen a los remitentes masivos.

Cómo usar el registro generado

Publica la clave pública generada como registro TXT en selector._domainkey.yourdomain.com, guarda la clave privada correspondiente en tu plataforma de envío y confirma que la firma pasa antes de depender de ella.

Por qué DKIM sobrevive al reenvío cuando SPF no

SPF comprueba el servidor que entregó el mensaje, así que un servidor de reenvío lo rompe. DKIM firma el mensaje en sí, así que la firma sigue verificándose después de un salto, siempre que nada haya reescrito el cuerpo ni los encabezados firmados. Por eso las listas de correo que agregan pies de página rompen DKIM y los reenvíos simples normalmente no.

Cómo rotar una clave DKIM de forma segura

Publica primero la clave nueva en un selector nuevo, cambia tu plataforma de envío para que firme con ella, espera a que ya no haya correo firmado con el selector anterior y solo entonces elimina el registro viejo. Si borras la clave anterior demasiado pronto, todos los mensajes que aún están en tránsito fallan la verificación.

Revisa el tuyo ahora

Genera el registro con el generador de registros DKIM gratuito, publícalo, mándate un mensaje y pega los encabezados sin procesar en el analizador de encabezados de correo gratuito. La línea Authentication-Results es el veredicto del propio receptor, y es la única que define si DKIM está pasando.

Cómo publicar un registro DKIM

Genera un par de claves DKIM, publica la clave pública en el DNS y verifica la firma.

Elige un selectorElige una etiqueta corta como s1 o mail. Identifica qué clave deben usar los receptores y te permite publicar varias claves a la vez.
Obtén la clave públicaLa mayoría de las plataformas de envío generan el par de claves por ti y te muestran la mitad pública. Si la tuya no lo hace, genera una clave RSA de 2048 bits y deja la mitad privada en la plataforma.
Publica el registro TXTCrea un registro TXT en selector._domainkey.yourdomain.com con el valor generado. Ojo con los proveedores de DNS que dividen los valores largos, una causa común de fallos silenciosos.
Activa la firmaActiva la firma DKIM en la plataforma de envío y mándate un mensaje de prueba.
Verifica la firmaPega los encabezados sin procesar de ese mensaje de prueba en el analizador de encabezados de correo y confirma que la línea Authentication-Results dice dkim=pass.

Preguntas frecuentes

¿Qué es un selector DKIM?

Un selector es una etiqueta (por ejemplo, "google" o "s1") que les indica a los receptores qué clave pública DKIM usar. Te permite publicar varias claves y rotarlas de forma segura.

¿DKIM es obligatorio?

Para los remitentes masivos que envían a Gmail y Yahoo, sí. Para todos los demás, DKIM mejora mucho la confianza y es necesario para pasar DMARC por alineación de DKIM.

¿Qué longitud debe tener mi clave DKIM?

Usa al menos una clave RSA de 2048 bits si tu proveedor lo admite; 1024 bits es el mínimo, pero es más débil.

¿Por qué falla mi DKIM?

Las causas comunes son un selector que no coincide, el registro dividido o truncado en el DNS, o que una lista de correo modifique el mensaje después de firmarlo. Usa un analizador de encabezados de correo para ver el resultado exacto de DKIM.

¿Cómo pruebo mi registro DKIM?

Mándate un mensaje y pega sus encabezados sin procesar en el analizador de encabezados de correo gratuito. El encabezado Authentication-Results muestra dkim=pass o dkim=fail con el dominio y el selector que se comprobaron.

¿Puedo tener más de un selector DKIM?

Sí, y normalmente conviene. Cada plataforma de envío puede firmar con su propio selector, y la rotación funciona publicando el selector nuevo antes de retirar el anterior.

Más guías

Estas herramientas responden la pregunta una vez. El monitoreo continuo vuelve a revisar su dominio cada 6 horas y le avisa cuando la respuesta cambie, desde $14/mes. Precios