Comprobación DKIM

Comprueba el registro DKIM de un dominio y su clave

DKIM firma cada mensaje con una clave, y los receptores verifican la firma con la clave pública en DNS. La clave está en selector._domainkey.dominio.

Un mensaje con firma DKIM y la clave que la verifica

Cómo funcionan las claves DKIM

El selector permite que un dominio tenga varias claves a la vez: una por servicio de correo, o una vieja y una nueva durante la rotación. Google Workspace usa google, Microsoft 365 usa selector1 y selector2, y Mailchimp usa k1.

Las claves de menos de 2048 bits son más fáciles de romper, y algunos receptores ya consideran débiles las firmas de 1024 bits. Rota las claves una o dos veces al año.

Cuándo lo necesitas

Comprobar que un servicio de correo nuevo firma con tu dominio
Encontrar claves débiles de 1024 bits antes de una campaña
Confirmar que una rotación de claves llegó al DNS

Preguntas y respuestas

01¿Cómo encuentro mi selector DKIM?

Abre un mensaje que hayas enviado y busca la cabecera DKIM-Signature: el selector es la etiqueta s=. Los proveedores de correo también lo muestran en los ajustes del dominio.

02¿Por qué no se encuentra la clave?

Puede que el selector esté mal, que el proveedor pida un CNAME que aún no creaste o que el DNS no se haya actualizado tras el cambio.

03¿Qué longitud de clave uso?

RSA de 2048 bits. Menos receptores admiten Ed25519, así que si lo usas publícalo junto a una clave RSA.

04¿Puede un dominio tener varias claves DKIM?

Sí. Cada servicio recibe su propio selector: uno para Google Workspace, otro para el servicio de envíos. Las claves viven en nombres distintos y no se estorban.

05¿Cada cuánto debo cambiar la clave DKIM?

Cada 6 a 12 meses. Publica una clave con un selector nuevo, cambia la firma a ella y borra la antigua unos días después, cuando hayan llegado las cartas con la firma vieja.