Comprobar DKIM: revisa tu registro DKIM
DKIM permite que un servidor de envío firme cada mensaje con una clave privada, y los receptores comprueban la firma con una clave pública publicada en el DNS. Introduce tu dominio y el selector que usa tu proveedor de correo para obtener esa clave, y verás su tamaño, su formato y por qué podrían estar fallando las firmas.
Cómo encontrar tu selector DKIM
Un dominio puede tener muchas claves DKIM a la vez, para distintos servicios o para la rotación de claves, y el selector es la etiqueta que indica cuál usar. Cada clave está en selector._domainkey.yourdomain.com, así que google._domainkey y s1._domainkey pueden convivir.
La forma más rápida de encontrar el tuyo: envíate un mensaje, abre los encabezados completos y busca la línea DKIM-Signature. El valor s= es el selector y d= es el dominio que firmó.
¿No sabes cómo se ve un resultado? Los botones de ejemplo de arriba muestran una clave sana de 2048 bits (yahoo.com con s2048), una clave de 1024 bits que activa la advertencia de clave débil (yahoo.com con s1024) y una clave revocada (gmail.com con 20230601).
Selectores que algunos proveedores usan por defecto
Varían según el proveedor y según cómo se configuró la cuenta, así que tómalos como punto de partida y confírmalos con tu proveedor.
| Proveedor | Selectores habituales |
|---|---|
| Google Workspace | google (y un nombre basado en la fecha para las claves más nuevas) |
| Microsoft 365 | selector1 y selector2 |
| SendGrid | s1 y s2 |
| Mailchimp | k1, k2 y k3 |
| Muchos paneles de control y servicios de alojamiento | default |
Cómo leer un registro DKIM
| Etiqueta | Significado |
|---|---|
| v=DKIM1 | La versión. Es opcional, pero si está presente debe ser DKIM1 |
| k | Tipo de clave: rsa (el predeterminado) o ed25519 |
| p | La clave pública, en base64. Un valor vacío significa que la clave está revocada |
| t=y | Modo de prueba: los receptores pueden ser indulgentes con los fallos |
| t=s | Estricto: el dominio firmante debe coincidir exactamente con el dominio de la dirección From, sin subdominios |
| s | Para qué servicios puede usarse la clave: email o * |
Tamaño de la clave, división y rotación
- Usa una clave RSA de 2048 bits. Las de 1024 bits todavía se verifican, pero ya no se recomiendan, y cualquier tamaño menor no es seguro.
- Una clave de 2048 bits es más larga que los 255 caracteres que cabe en una cadena DNS, así que se publica como varias cadenas entre comillas dentro de un mismo registro TXT. La mayoría de los paneles de DNS lo hacen por ti. Si en cambio una clave se trunca, no se puede leer.
- Rota las claves de vez en cuando. Publica primero un selector nuevo, haz que tu proveedor de correo firme con él y deja el selector anterior hasta que se haya entregado el correo que ya estaba en tránsito.
- Para retirar una clave, publica el registro con una p= vacía, de modo que las firmas hechas con ella fallen de forma limpia en lugar de que el registro desaparezca.