¿Qué es DKIM? DomainKeys Identified Mail explicado
DKIM (DomainKeys Identified Mail) añade una firma criptográfica al correo saliente, lo que permite al servidor receptor verificar que el mensaje viene realmente de tu dominio y no se ha alterado en tránsito. Junto con SPF y DMARC forma el trío estándar de autenticación de correo.
Cómo funciona DKIM
Tu servidor de correo firma cada mensaje saliente con una clave privada. La firma se añade como cabecera DKIM-Signature. El servidor receptor busca la clave pública de tu dominio en el DNS (publicada como registro TXT) y comprueba que la firma coincide.
- Tu servidor de correo genera un par de claves pública y privada
- La clave pública se publica como registro TXT en un selector, p. ej. selector1._domainkey.tudominio.com
- Cada correo saliente se firma con la clave privada y se le añade una cabecera DKIM-Signature
- El servidor receptor obtiene tu clave pública del DNS usando el selector indicado en la cabecera
- Recalcula la firma y la compara: si coincide, el correo es auténtico y no se ha modificado
Registro DNS de DKIM
El registro va en un nombre de host propio del selector, no en la raíz del dominio:
selector1._domainkey.yourdomain.com. TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGS..."
Etiquetas del registro DKIM
| Tag | Meaning |
|---|---|
v | Versión, siempre DKIM1 |
k | Tipo de clave, casi siempre rsa |
p | La clave pública (codificada en base64) |
¿Qué es un «selector»?
El selector permite que un dominio publique varias claves DKIM a la vez, algo útil al rotar claves o al usar varios proveedores de correo. Cada proveedor te indica qué selector usar (ejemplos habituales: google, selector1, k1, mandrill).
Configurar DKIM
- Activa la firma DKIM en tu proveedor de correo (Google Workspace, Microsoft 365, SendGrid, etc.): ellos generan el par de claves por ti
- Copia el registro TXT y el nombre de host del selector que te dan
- Añade el registro TXT a tu DNS
- Espera la propagación y verifícalo después con el proveedor o con una consulta DKIM
Por qué necesitas SPF, DKIM y DMARC juntos
Cada uno cubre un hueco distinto:
- SPF autoriza qué servidores pueden enviar, pero se rompe cuando el correo se reenvía
- DKIM demuestra que el contenido del mensaje no se ha manipulado; sobrevive al reenvío, pero por sí solo no dice quién está autorizado a enviar
- DMARC une los dos, indica a los destinatarios qué hacer cuando ambos fallan y te da visibilidad mediante informes
Problemas habituales
- La firma se rompe al reenviar desde listas de correo — algunos gestores de listas reescriben el cuerpo o el asunto, invalidando la firma. Es lo esperado y es justo por eso que la alineación de DMARC acepta que pase SPF O DKIM, no los dos.
- Clave demasiado larga para una sola cadena TXT — las claves de 2048 bits suelen tener que repartirse en varias cadenas entrecomilladas dentro del mismo registro TXT; la mayoría de proveedores DNS lo hacen automáticamente.
- Selector incorrecto — si el selector de tu DNS no coincide con el que usa tu proveedor para firmar, la verificación falla de forma silenciosa.
Comprueba tu configuración de DKIM
Usa el comprobador de seguridad del correo para verificar SPF, DKIM y DMARC juntos:
Ve la teoría en la práctica: ejecuta Comprobación de seguridad del correo para tu propio dominio.