Qué es un registro DKIM: formato, ejemplos y cómo verificarlo
Un registro DKIM es un registro TXT de DNS que publica la clave pública con la que los receptores verifican la firma de tus correos. Aprende su formato, cada etiqueta, ejemplos reales y cómo verificar tu registro DKIM.
Introducción
DKIM es la parte de la autenticación del correo que sobrevive al reenvío, demuestra que el mensaje no se ha modificado por el camino y, muchas veces, es la única forma de que un servicio de terceros pase DMARC con tu dominio. Todo eso depende de un registro DNS que casi nadie mira.
En esta guía verás qué es un registro DKIM, qué significa cada parte, cómo son los registros reales de los proveedores habituales y cómo verificar tu registro DKIM con una consulta.
Qué es un registro DKIM
DKIM (DomainKeys Identified Mail, RFC 6376) funciona con un par de claves:
- Tu servicio de envío guarda una clave privada y la usa para firmar cada mensaje saliente
- Tú publicas la clave pública correspondiente en el DNS, en el registro DKIM
- El servidor receptor obtiene la clave pública y comprueba la firma
Si la firma es válida, el receptor sabe dos cosas: el mensaje lo firmó alguien que tiene la clave privada de tu dominio, y las cabeceras firmadas y el cuerpo no han cambiado después de la firma.
El registro DKIM es esa clave pública, publicada como registro TXT.
Dónde está el registro DKIM
El registro DKIM no se publica en el propio dominio. Va bajo un nombre que se construye con un selector:
<selector>._domainkey.<dominio>Para el dominio example.com con Google Workspace, cuyo selector por defecto es google:
google._domainkey.example.comEl selector permite que un dominio tenga varias claves a la vez: una por servicio de envío, o la antigua y la nueva durante una rotación. Cada servicio te dice qué selector usa.
Anatomía de un registro DKIM
Un registro DKIM típico tiene este aspecto (la clave está recortada):
google._domainkey.example.com. 3600 IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAu5f...IDAQAB"Es una lista de pares etiqueta=valor separados por punto y coma.
| Etiqueta | Obligatoria | Significado |
|---|---|---|
v |
Recomendada | Versión. Si aparece, debe ser DKIM1 e ir la primera |
k |
No | Tipo de clave. rsa (por defecto) o ed25519 (RFC 8463) |
p |
Sí | La clave pública en base64. Vacía significa clave revocada |
h |
No | Algoritmos de hash aceptados, por ejemplo sha256 |
t |
No | Indicadores. y = modo de prueba, s = coincidencia estricta de dominio |
s |
No | Tipo de servicio. email o * (por defecto) |
n |
No | Notas para personas; los receptores las ignoran |
En la práctica, casi todos los registros que verás son v=DKIM1; k=rsa; p=.... Lo importante está en p.
Ojo con t=y. Indica a los receptores que el dominio está probando DKIM. Algunos tratan con menos rigor las firmas de una clave en prueba y otros ignoran el indicador. Hay proveedores que lo dejan en sus registros por defecto; quítalo cuando DKIM funcione.
La otra mitad: la cabecera DKIM-Signature
El registro es solo la mitad de DKIM. Cada mensaje firmado lleva una cabecera DKIM-Signature que indica al receptor qué registro consultar:
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=google;
t=1761868800; h=from:to:subject:date:message-id;
bh=2jUSOH9NhtVGCQWNr9BrIAPreKQjO6Sn7XIkfJVOzv8=;
b=Ht6LVd3sL...| Etiqueta | Significado |
|---|---|
d= |
Dominio que firma. El receptor busca la clave bajo este dominio |
s= |
Selector. Junto con d= da google._domainkey.example.com |
a= |
Algoritmo, normalmente rsa-sha256 |
c= |
Canonicalización de cabeceras y cuerpo. relaxed/relaxed tolera cambios de espacios |
h= |
Las cabeceras que cubre la firma |
bh= |
Hash del cuerpo |
b= |
La firma |
El dominio de d= importa para DMARC. Una firma con d=esp-provider.net puede ser totalmente válida y no ayudar a tu resultado DMARC, porque no está alineada con example.com en el From. Para DMARC, la firma tiene que llevar tu propio dominio.
Ejemplos de registro DKIM
Registro TXT que publicas tú
Google Workspace genera una clave y te muestra un valor TXT para publicar:
Nombre: google._domainkey
Tipo: TXT
Valor: v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAu5f...IDAQABEl registro es tuyo, así que rotar la clave significa generar una nueva y actualizar tú el DNS.
CNAME delegado en el proveedor
La mayoría de las plataformas de correo te piden registros CNAME. El CNAME apunta a un registro TXT alojado por el proveedor, que así puede rotar las claves sin pedirte nada:
Nombre: s1._domainkey.example.com
Tipo: CNAME
Valor: s1.domainkey.u1234567.wl123.sendgrid.netMicrosoft 365 usa dos CNAME, selector1._domainkey y selector2._domainkey, para alternar entre ellos. Amazon SES Easy DKIM usa tres CNAME con selectores aleatorios. Los valores exactos salen del panel de cada proveedor; cópialos de ahí, no de un artículo.
El directorio de servicios de correo recoge el selector y los pasos de configuración de los proveedores habituales, y la guía de configuración de DKIM explica cómo publicar el registro en tu proveedor de DNS.
Una clave revocada
Para revocar una clave, mantén el registro pero deja p vacío:
v=DKIM1; p=A partir de ahí, los receptores dan por fallida cualquier firma hecha con ese selector. Es más limpio que borrar el registro, que parece un error de configuración.
Cómo verificar un registro DKIM
1. Averigua el selector
El DNS no permite listar los selectores DKIM de un dominio. Sácalo de un mensaje que hayas enviado: abre las cabeceras, busca DKIM-Signature y lee s= y d=.
El analizador de cabeceras también ayuda: pegas las cabeceras y te muestra si DKIM pasó en ese mensaje, junto a los resultados de SPF y DMARC.
2. Consulta el DNS
dig +short TXT google._domainkey.example.comSi usas CNAME, comprueba el CNAME y el registro al que apunta:
dig +short CNAME s1._domainkey.example.com
dig +short TXT s1._domainkey.example.comEn Windows:
nslookup -type=TXT google._domainkey.example.comSi no devuelve nada, lee Selector DKIM no encontrado.
3. Comprueba el registro
El verificador de DKIM obtiene el registro de un dominio y un selector, decodifica la clave e indica su tipo y su longitud, para que veas de un vistazo si es una clave válida de 2048 bits.
Problemas habituales del registro DKIM
El dominio aparece dos veces. Muchos paneles de DNS añaden el dominio al nombre automáticamente. Si escribes google._domainkey.example.com, se crea google._domainkey.example.com.example.com. Escribe solo google._domainkey.
La clave está mal partida. Una clave de 2048 bits supera el límite de 255 caracteres de una cadena TXT, así que debe dividirse en varias cadenas entre comillas. Algunos paneles lo hacen por ti; otros necesitan que la pegues tal cual. Un espacio o un salto de línea dentro de la clave la rompe.
La clave está cortada. Al copiar desde un panel estrecho a veces se pierde el final de p=. Una clave RSA válida de la mayoría de proveedores termina en IDAQAB.
La clave es demasiado corta. Las claves de menos de 1024 bits se consideran inseguras. Usa RSA de 2048 bits, como recomienda el RFC 8301.
DKIM nunca se activó. En algunos proveedores no basta con publicar el registro; en Microsoft 365, por ejemplo, hay que activar la firma cuando los CNAME ya están publicados. El registro existe, pero ningún mensaje se firma con él.
La firma es válida pero DMARC sigue fallando. El mensaje va firmado con el dominio del proveedor (d=esp-provider.net), no con el tuyo. Configura DKIM personalizado para tu dominio en el panel del proveedor. Firma DKIM no válida y Fallo de alineación DMARC cubren las variantes.
Rotar las claves DKIM
Las claves no deberían durar para siempre. Una rotación segura con selectores sigue estos pasos:
- Publica una clave nueva con un selector nuevo (
google2._domainkey, por ejemplo) - Cambia el servicio de envío para que firme con el selector nuevo
- Espera unos días, para que los mensajes que siguen en tránsito puedan verificarse con la clave antigua
- Revoca la clave antigua dejando
p=vacío
Los proveedores que usan delegación por CNAME hacen todo esto por ti.
Lista de comprobación
- Todos los servicios que envían como tu dominio firman con DKIM
- Cada firma usa
d=con tu dominio, no el del proveedor - Los registros responden en
selector._domainkey.tudominio - Las claves son RSA de 2048 bits
- Has quitado
t=ycuando DKIM ya funciona - Las claves antiguas están revocadas, no activas
Siguientes pasos
- Consulta y decodifica un registro DKIM: Verificador de DKIM →
- Publica el registro en tu proveedor de DNS: Guía de configuración de DKIM →
- Encuentra el selector en un mensaje real: Analizador de cabeceras →
- Comprueba qué remitentes firman con tu dominio: Empieza gratis → — los informes agregados de DMARC muestran los resultados de DKIM y el dominio que firma por cada origen, así sabes qué servicios siguen firmando con su propio dominio.
Artículos relacionados:
¿Listo para mejorar la entregabilidad de tus emails?
Empieza a monitorizar tus reportes DMARC y obtén información sobre tu configuración de autenticación.
Comenzar Prueba GratuitaArtículos Relacionados
getting startedRegistro SPF: sintaxis explicada con ejemplos
Referencia completa de la sintaxis de SPF (Sender Policy Framework): cada mecanismo, calificador y modificador, cómo evalúa el receptor el registro TXT y ejemplos de registro SPF listos para copiar.
getting startedSPF, DKIM y DMARC: La guía completa de autenticación de email
Domina la autenticación de correo electrónico con esta guía completa sobre SPF, DKIM y DMARC. Aprende cómo funcionan juntos estos protocolos para proteger la entrega de tus emails.
getting startedEjemplos de registro DMARC: 10 registros TXT listos para usar
Ejemplos de registro DMARC listos para copiar en tu DNS: monitorización, quarantine, reject, subdominios, dominios aparcados e informes externos, con cada etiqueta explicada según el RFC 9989 y cómo consultar el registro.