¿Qué es DKIM? Registro DKIM, selector y cómo configurarlo

DKIM (DomainKeys Identified Mail) demuestra dos cosas sobre un correo: que lo envió un servidor autorizado por el dominio y que nadie lo modificó por el camino. Lo hace con un par de claves: una privada que permanece en el servidor de envío y una pública publicada en el DNS. Este artículo explica el registro DKIM, los selectores, la longitud de la clave, la rotación y cómo configurarlo con tus servicios de correo.

Cómo funciona DKIM

1. El servidor de envío toma ciertos encabezados (From, Subject, Date y otros) y el cuerpo, calcula un hash y lo firma con la clave privada.
2. Añade un encabezado DKIM-Signature con la firma y las instrucciones para verificarla.
3. El receptor lee el encabezado, obtiene la clave pública del DNS y comprueba la firma. Si alguna parte firmada cambió, la verificación falla.

Un encabezado de firma abreviado se ve así:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=mail2025;
  h=from:to:subject:date:message-id; bh=…; b=…

• d=: el dominio firmante. Para DMARC debe estar alineado con el dominio del From.
• s=: el selector, que indica al receptor dónde buscar la clave.
• h=: la lista de encabezados firmados; bh=: el hash del cuerpo; b=: la firma en sí.

Cómo es un registro DKIM

La clave pública se publica como un registro TXT en selector._domainkey.dominio. Para la firma anterior sería:

mail2025._domainkey.example.com.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA…"

Una clave de 2048 bits supera los 255 caracteres, el límite de una sola cadena en un registro TXT. Los paneles de DNS lo gestionan de forma distinta: algunos la dividen automáticamente, otros esperan que pegues el valor como varias cadenas entre comillas dentro de un mismo registro. Si la clave llega dañada, normalmente es porque el registro se dividió por error en dos registros separados: debe haber un solo registro TXT cuyas cadenas se unen entre sí.

Qué es un selector DKIM y por qué hay varios

El selector es simplemente un nombre que eliges tú o tu proveedor: google, selector1, s1, mail2025. Existe para que un mismo dominio pueda tener varias claves al mismo tiempo:

• una para tu proveedor de correo;
• una para la plataforma de newsletters;
• una para el helpdesk o el CRM;
• una nueva durante la rotación de claves, mientras la anterior sigue siendo válida.

No hay forma de listar todos los selectores de un dominio mediante el DNS, solo puedes consultar un nombre concreto. Por eso los verificadores prueban un conjunto de selectores comunes, y por eso la forma fiable es leer el selector de un mensaje real.

Cómo encontrar tu selector en los encabezados del correo

1. Envía un mensaje desde el servicio que quieres comprobar a un buzón que controles.
2. Abre el mensaje original con todos los encabezados. La mayoría de los clientes de correo ofrecen "Mostrar original", "Ver código fuente" o "Encabezados del mensaje" en el menú del mensaje.
3. Busca el encabezado DKIM-Signature. El valor de s= es el selector y d= es el dominio.
4. Revisa también Authentication-Results, añadido por el receptor: indica dkim=pass o fail y para qué dominio.
5. Pega el dominio y el selector en el verificador de DKIM para ver la clave publicada, su tipo y su longitud. Sin selector, la herramienta prueba unos 30 comunes.

Longitud de la clave: 1024 o 2048 bits

El estándar DKIM exige que los firmantes usen claves de al menos 1024 bits y recomienda 2048. Las claves de 512 o 768 bits se consideran vulnerables y los receptores pueden ignorarlas. En la práctica:

• Usa 2048 bits siempre que tu proveedor y tu panel de DNS lo admitan, lo cual hoy ocurre casi en todas partes.
• 1024 bits todavía se verifica, pero no hay motivo para elegirlo en una clave nueva.
• Las claves más largas (4096) rara vez son necesarias y algunos paneles de DNS tienen problemas con su longitud.

Como referencia, promopilot.link firma con el selector mail y una clave RSA de 2048 bits (comprobado en octubre de 2026).

Claves delegadas por CNAME

Muchos proveedores no te piden que publiques la clave en sí. En su lugar, publicas un CNAME que apunta tu selector a un registro que ellos controlan:

selector1._domainkey.example.com.  CNAME  selector1-example-com._domainkey.provider.example.net.

La ventaja es que el proveedor puede rotar las claves sin que tengas que volver a tocar el DNS. Microsoft 365 funciona así con dos selectores, selector1 y selector2: publicas ambos CNAME y el servicio alterna entre ellos durante la rotación. Muchas plataformas de newsletters y de correo transaccional también emiten dos o tres CNAME. Copia siempre los destinos exactos desde el panel de administración de tu proveedor: contienen el nombre de tu tenant o de tu cuenta y no se pueden adivinar.

Cómo configurar DKIM

1. Haz una lista de todos los servicios que envían correo con tu dominio: buzón, newsletters, CRM, helpdesk, facturación, formularios del sitio web.
2. En el panel de administración de cada servicio, busca la sección de autenticación de dominio o DKIM y añade tu dominio. El servicio genera un par de claves o registros CNAME.
3. Publica los registros en tu panel de DNS exactamente como te los indican: el nombre de host (selector más ._domainkey), el tipo y el valor.
4. Espera a que se actualice el DNS, luego vuelve al servicio y haz clic en verificar o activar la firma. Algunos proveedores no empiezan a firmar hasta que haces esto.
5. Envía un mensaje de prueba y revisa en los encabezados que aparezca dkim=pass con d= igual a tu dominio.
6. Repite el proceso con cada servicio y después publica DMARC para ver el panorama completo: consulta cómo configurar DMARC.

Rotación de claves

Una clave que nunca cambia es una clave que puede estar ya comprometida. Una rotación limpia se hace así:

1. Genera un nuevo par de claves y publica la clave pública con un nuevo selector.
2. Cambia la firma al nuevo selector.
3. Conserva el registro anterior al menos unos días para que los mensajes retrasados o en cola se sigan verificando.
4. Revoca la clave anterior publicando el registro con p= vacío, o elimínalo.

Con la delegación por CNAME, el proveedor hace los pasos 1 a 3 por ti. Si gestionas las claves tú mismo, rotarlas cada 6 a 12 meses es una práctica habitual.

Problemas comunes de DKIM

• Registro no encontrado: el nombre de host es incorrecto. Algunos paneles añaden el dominio automáticamente, de modo que mail._domainkey.example.com se convierte en mail._domainkey.example.com.example.com. Introduce solo mail._domainkey.
• Clave dañada: espacios adicionales, comillas o saltos de línea dentro de p=, o la clave dividida en dos registros.
• La firma falla después del envío: algo modifica el mensaje después de firmarlo, como un pie de página añadido por un gateway, una lista de correo o un dispositivo de seguridad.
• DKIM pasa pero DMARC falla: el servicio firma con su propio dominio. Activa la firma con tu dominio.

Por qué DKIM importa más que SPF para DMARC

SPF está ligado a la dirección IP que entrega el mensaje, por lo que falla siempre que el correo se reenvía: el servidor que reenvía no está en tu registro SPF. Una firma DKIM viaja dentro del mensaje y sobrevive al reenvío mientras no se modifiquen las partes firmadas. Por eso un dominio que depende solo de SPF ve fallos de DMARC en el correo reenviado, mientras que un dominio con DKIM alineado en cada flujo no los tiene. Si solo puedes corregir una cosa en un remitente de terceros, activa DKIM con tu propio dominio.

DKIM es una de las tres piezas. En SPF, DKIM y DMARC explicados se explica cómo encaja con SPF y DMARC; para revisar el resto de la configuración del correo, usa el verificador de SPF, la consulta de MX y la comprobación de IP en listas negras.