DKIM en una frase
DKIM añade a cada correo una firma digital hecha con una clave secreta que solo tiene tu servicio de correo. Quien lo recibe comprueba la firma con la clave pública que publicas en tu DNS. Si cuadra, sabe que el correo es tuyo y que no se ha modificado.
Cómo funciona
- Tu servicio de correo (Microsoft 365, Google Workspace, tu newsletter…) firma cada mensaje con su clave privada y añade la cabecera
DKIM-Signature. - La firma dice con qué dominio se firma (
d=tudominio.es) y con qué clave (s=, el selector). - El servidor que recibe el correo busca la clave pública en
selector._domainkey.tudominio.esy comprueba la firma.
Para DMARC cuenta solo si el dominio de la firma (d=) es el tuyo. Muchos servicios firman por defecto con su propio dominio: hay que activar el «DKIM personalizado» o «autenticar dominio» en cada uno.
Cómo es un registro DKIM
Es un TXT con la clave pública, en un nombre que incluye el selector. Por ejemplo, en google._domainkey.tudominio.es:
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA…
Muchos servicios (Microsoft 365, Mailchimp, Brevo…) te piden en su lugar un CNAME que apunta a una clave que gestionan ellos. Así pueden cambiarla sin que tengas que tocar tu DNS.
Qué longitud de clave usar
Gmail pide claves de al menos 1024 bits y recomienda 2048. Si tu servicio te deja elegir, usa 2048. Una clave de 512 bits se puede romper y muchos receptores la ignoran.
Problemas habituales
- El registro está en el DNS pero falta pulsar «Activar» en el panel (muy típico en Microsoft 365).
- La clave se ha cortado al pegarla: algunos paneles parten los registros largos.
- Has cambiado de proveedor y el selector antiguo ya no existe.
- Algo modifica el correo después de firmarlo (una lista de correo, un antivirus que añade un pie) y la firma deja de valer. Gmail lo rechaza con el error 5.7.30.
Cómo activarlo
Cada servicio que envía con tu dominio necesita su propio DKIM. Paso a paso en Microsoft 365, Google Workspace, IONOS y Arsys y servicios de envío.