DKIM: qué es y cómo configurarlo paso a paso

SPF autoriza servidores, pero no impide que alguien altere tu mensaje por el camino ni prueba que el contenido salió realmente de ti. De eso se encarga DKIM, la firma criptográfica que acompaña a cada correo. Esta guía te explica qué es, cómo funcionan sus dos claves y cómo publicar el registro sin que la firma acabe fallando.

Qué es DKIM

DKIM significa DomainKeys Identified Mail y es un sistema que firma tus correos de forma criptográfica para demostrar dos cosas: que el mensaje salió de tu dominio y que nadie lo ha modificado en tránsito. A diferencia de SPF, que solo mira desde qué servidor se envió, DKIM se ocupa del contenido: cabeceras y cuerpo quedan sellados con una firma que el receptor puede verificar.

Ese sello es la razón por la que DKIM es más difícil de falsificar que SPF. Un atacante puede conocer tus servidores autorizados, pero no tiene tu clave privada, así que no puede generar una firma válida. Por eso los tres registros de la autenticación de correo moderna se apoyan tanto en él.

Cómo funciona la firma DKIM

DKIM se basa en un par de claves criptográficas asimétricas:

• La clave privada vive en tu servidor de correo y jamás se comparte. Con ella, el servidor firma una selección de cabeceras y el cuerpo de cada correo que envías.
• La clave pública la publicas en tu DNS. Cualquier receptor puede descargarla para comprobar que la firma es auténtica.

El flujo es este: al enviar, tu servidor calcula la firma y la añade en una cabecera DKIM-Signature, que incluye el dominio firmante (d=) y el selector (s=). El receptor lee esa cabecera, consulta tu clave pública en el DNS usando esos datos y verifica que la firma corresponde al mensaje. Si el contenido se alteró aunque fuera un carácter, la verificación falla.

No se firma todo el correo, sino un conjunto de cabeceras elegidas (como From, Subject o Date) más el cuerpo. La cabecera DKIM-Signature indica en su campo h= qué cabeceras se han incluido en la firma. Esto explica por qué, si un intermediario reescribe el asunto o añade un aviso legal al final del cuerpo, el sello deja de cuadrar: cualquier cambio en lo firmado invalida la verificación.

Anatomía del registro DKIM

El registro se publica en un host con la forma selector._domainkey.tudominio.com. El selector es la parte que eliges (o que te asigna el proveedor) y permite tener varias claves conviviendo. Un registro TXT típico se ve así:

Cada campo cuenta: v=DKIM1 es la versión, k=rsa el algoritmo de la clave, y p= contiene la clave pública propiamente dicha, una cadena larga en base64. El error más frecuente es cortar esa cadena al copiarla, porque muchos paneles DNS la parten en varios trozos. Debe quedar completa.

1024 o 2048 bits: qué longitud de clave elegir

DKIM admite claves RSA de distinta longitud, y la elección tiene consecuencias prácticas. Las claves de 2048 bits son más seguras y hoy son el estándar recomendado; las de 1024 bits siguen siendo válidas, pero se consideran el mínimo. El detalle técnico que da problemas es que una clave de 2048 bits genera un valor p= más largo que el máximo de 255 caracteres que admite una cadena TXT, así que hay que dividirla en varias cadenas dentro del mismo registro. La mayoría de proveedores y paneles DNS lo hacen automáticamente, pero si publicas la clave a mano, asegúrate de que quede correctamente troceada y sin espacios de más. Cuando puedas elegir, opta por 2048 bits.

Cómo configurar DKIM paso a paso

1. Entra en el panel de tu proveedor de correo y activa DKIM (en Google es la consola de administración; en otros, la sección de autenticación del dominio).
2. El proveedor genera el par de claves y te muestra el valor a publicar, junto con el nombre del selector.
3. Copia ese valor exacto en un registro DNS nuevo, respetando el host que te indica.
4. Vuelve al panel del proveedor y pulsa el botón de activar o verificar. Este paso es el que empieza a firmar de verdad: publicar la clave no basta si no activas la firma en el emisor.

La propagación tarda de minutos a horas. Hasta que el proveedor confirme que ve la clave, tus correos no llevarán la firma.

TXT o CNAME: por qué depende del proveedor

No todos publican DKIM igual. Google Workspace te entrega un registro TXT con la clave dentro, que copias tal cual. Microsoft 365, en cambio, usa dos registros CNAME que apuntan a la infraestructura de Microsoft, que es quien aloja y rota las claves por ti. Ninguno es mejor que otro; simplemente tienes que seguir el método de tu plataforma. El detalle de cada uno está en las guías de autenticación en Microsoft 365, donde el DKIM va por CNAME, y su equivalente para Google Workspace.

Errores comunes que hacen fallar la firma

• Clave cortada. Si el valor p= queda incompleto al copiarlo, la firma no valida nunca.
• No activar la firma. Publicar la clave pública sin pulsar activar en el proveedor deja los correos sin firmar.
• Selector equivocado. Si el host del registro no coincide con el selector que anuncia la cabecera DKIM-Signature, el receptor no encuentra la clave.
• Intermediarios que modifican el correo. Algunas listas de distribución alteran el cuerpo y rompen la firma; para eso existen mecanismos como ARC, pero es un caso avanzado.

Cómo rotar tus claves DKIM sin cortes

Rotar la clave cada cierto tiempo es una buena práctica de seguridad, y el selector es justo lo que lo hace sencillo. El truco es no sustituir la clave activa de golpe:

1. Genera un par de claves nuevo con un selector distinto (por ejemplo 2027a._domainkey).
2. Publica la clave pública nueva y espera a que propague, sin tocar todavía la antigua.
3. Cambia el emisor para que firme con el selector nuevo.
4. Deja la clave vieja publicada unos días por si quedan correos en tránsito firmados con ella, y luego retírala.

Como referencia del sector, una rotación cada seis o doce meses es razonable. En Microsoft 365, al ir el DKIM por CNAME, la rotación la gestiona Microsoft y tú no tienes que hacer nada.

Cómo saber si tus correos van firmados

La comprobación rápida es enviarte un correo a Gmail, abrirlo, pulsar el menú de los tres puntos y elegir Mostrar original. Ahí verás una línea DKIM: PASS con tu dominio si todo funciona. Otra pista está en las cabeceras: un correo firmado incluye la cabecera DKIM-Signature con tu d= y tu selector. Si esa cabecera no aparece, es que el emisor no está firmando, por mucho que la clave esté publicada en el DNS. Es el error silencioso más habitual: clave publicada pero firma sin activar.

DKIM dentro del trío

DKIM firma, pero no dice qué hacer si la firma falla ni protege el remitente visible por sí solo. Para eso trabaja con los otros dos registros. La lista de servidores autorizados la aporta el registro SPF, y la política que decide el destino de un correo que no pasa la autenticación la fija el registro DMARC, que además exige que la firma DKIM esté alineada con tu dominio del From. Es esa alineación la que convierte a DKIM en una defensa real contra la suplantación.

Comprueba la firma y no descuides la reputación

Después de configurar DKIM, envía un correo de prueba a una cuenta de Gmail y revisa en los detalles que aparezca dkim=pass. Tienes el proceso completo en la guía para verificar SPF, DKIM y DMARC. Y ten presente que firmar tus correos no evita, por sí solo, que acaben en la carpeta de spam: la firma prueba que el mensaje es tuyo, pero la reputación del dominio la construye el historial de envíos. PreheatMail se encarga de calentar tus cuentas mientras tú dejas el DKIM firmando sin errores.