Comprobador DKIM: revisa tu registro y tu clave DKIM
Comprueba si tu dominio publica una clave DKIM válida, lo segura que es y si el registro está bien configurado, con o sin selector.
Comprobar registro DKIM
Escribe el dominio desde el que envías correos. Puedes indicar el selector o dejar que busquemos los habituales.
Las consultas se hacen a través del resolvedor DNS Quad9 (Suiza). Guardamos el dominio consultado y una dirección IP anonimizada durante 30 días como máximo.
Así funciona DKIM
¿Qué es DKIM?
DKIM significa DomainKeys Identified Mail. Tu servidor de correo firma cada mensaje saliente con una clave privada y añade la firma en la cabecera DKIM-Signature. El receptor obtiene la clave pública correspondiente del DNS de tu dominio y comprueba con ella que el correo viene realmente de ti y no se ha modificado por el camino.
El selector
Un dominio puede tener varias claves DKIM, por ejemplo una para tu buzón y otra para tu herramienta de newsletter. Se distinguen por el selector. La clave está como registro TXT en selector._domainkey.tu-dominio.es. El selector que usa un remitente aparece en la firma tras s=. Google usa, por ejemplo, google, y Microsoft 365 selector1 y selector2.
Qué comprueba el comprobador DKIM
Leemos el registro del selector y comprobamos la versión, el tipo de clave y la clave en sí. Las claves RSA de menos de 1024 bits ya no se aceptan; hoy lo estándar son 2048 bits. También avisamos de claves revocadas, del modo de prueba t=y y de una limitación a SHA-1. Si no conoces el selector, probamos los selectores habituales de los grandes proveedores de correo.
Errores típicos de DKIM
Registro con el nombre equivocado
La clave va en selector._domainkey.tu-dominio.es. Muchos paneles DNS añaden el dominio automáticamente: si también lo escribes tú, acabas con …tu-dominio.es.tu-dominio.es.
Clave dañada al copiarla
Las claves largas se dividen a menudo en varias partes. Si faltan caracteres o se han colado comillas y espacios, la clave no es válida y todas las firmas fallan.
Clave RSA demasiado corta
Los receptores rechazan claves de 512 o 768 bits, y las de 1024 se consideran débiles. Genera en tu proveedor de correo una clave nueva de 2048 bits con un selector nuevo.
Olvidar DKIM al cambiar de proveedor
Si trasladas tu correo, el nuevo proveedor necesita su propia clave. Si solo queda el registro antiguo, tus correos dejan de estar firmados y DMARC puede fallar.
Preguntas frecuentes
Abre un correo que hayas enviado desde tu dominio y muestra sus cabeceras. En la cabecera DKIM-Signature, el selector va tras s= y el dominio tras d=. Tu proveedor de correo también lo muestra en los ajustes de DKIM.
O DKIM no está configurado, o tu proveedor usa un selector que no conocemos. Escribe arriba el selector de un correo enviado y comprobaremos exactamente ese registro.
Para RSA, 2048 bits son hoy el estándar. Las de 1024 bits aún se verifican pero se consideran débiles; las más cortas se rechazan. Ed25519 es corta y segura, pero todavía no se admite en todas partes: úsala solo junto a RSA.
Sí. Cada servicio que envía en tu nombre puede tener su propia clave con su propio selector. Pero en cada selector solo puede haber un registro.
DMARC comprueba si SPF o DKIM se superan y coinciden con el dominio del remitente. En DKIM es el dominio tras d= en la firma. DKIM resiste mejor los reenvíos que SPF, por eso es especialmente importante para DMARC. Revisa también tu registro DMARC.
Se recomienda cambiarla aproximadamente una vez al año, y de inmediato si la clave privada pudiera haber caído en malas manos. Crea la nueva clave con un selector nuevo, cambia el envío y borra el registro antiguo pasados unos días.
