Configurar DKIM: cómo funciona y errores más comunes

Tus correos dicen que son tuyos. DKIM lo demuestra.

Alguien configuró DKIM para tu dominio hace tiempo y el tema se dio por cerrado. Hasta que un cliente comenta que tu recordatorio de pago le llegó a spam, o recibes un informe DMARC lleno de dkim=fail, y nadie sabe decir si ese registro funcionó alguna vez.

La buena noticia: DKIM es sencillo, el registro es una sola entrada en el DNS y casi todos los fallos vienen de unos pocos errores al copiar y pegar. Aquí tienes DKIM explicado en lenguaje claro y cómo corregir cada uno de ellos.

Qué hace realmente DKIM

DKIM (DomainKeys Identified Mail) es una firma digital en cada correo que envías, como el sello de lacre de una carta. Tiene tres piezas:

• La clave privada se queda en el servidor de envío y firma cada mensaje: una huella del cuerpo y de encabezados como From, Subject o Date.
• La clave pública se publica en el DNS de tu dominio, donde cualquiera puede leerla.
• El selector es una etiqueta que indica al receptor qué clave pública debe buscar. Un dominio puede tener varias claves —correo de oficina, herramienta de facturación, recordatorios a clientes— y los selectores las distinguen.

Cuando Gmail u Outlook reciben tu mensaje, leen el encabezado DKIM-Signature, toman el dominio firmante (d=) y el selector (s=), consultan la clave pública en el DNS y comprueban el sello. Si coincide, el mensaje lo autorizó el dueño del dominio y nadie lo modificó por el camino.

DKIM no indica qué servidores pueden enviar en tu nombre (eso es SPF) ni qué deben hacer los receptores cuando algo falla (eso es DMARC). Desde febrero de 2024, Gmail y Yahoo exigen los tres a los remitentes masivos.

Anatomía de un registro DKIM

Un registro DKIM es un registro TXT publicado en selector._domainkey.tudominio.com. Con el selector s1 y el dominio example.com, vive en s1._domainkey.example.com y su valor tiene este aspecto:

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAu5x...IDAQAB

• v=DKIM1: la versión. Siempre exactamente esta.
• k=rsa: el tipo de clave. Prácticamente todos los proveedores usan RSA.
• p=: la clave pública, una cadena larga en base64. Es la parte que más se rompe.
• t=y (opcional): modo de prueba. Quítalo cuando la firma ya funcione.

Algunos proveedores te dan un CNAME en su lugar, que apunta s1._domainkey.example.com a un host suyo. No pasa nada: ellos alojan la clave y pueden rotarla por ti. Simplemente crea el tipo de registro que te indicaron.

Cómo configurar DKIM paso a paso

1. Genera la clave en tu plataforma de envío. La plataforma crea el par de claves y te muestra el host y el valor que debes publicar.
2. Copia ambos tal cual, con los botones de copiar si los hay.
3. Crea el registro en tu proveedor de DNS (registrador, Cloudflare, panel del hosting). Tipo: TXT, o CNAME si así te lo indican. Host: por ejemplo s1._domainkey. Valor: la cadena completa v=DKIM1; ....
4. Espera a que el DNS se actualice: normalmente minutos, a veces hasta 48 horas.
5. Verifica y prueba. Comprueba el registro con una herramienta independiente y luego envía un correo a Gmail, elige «Mostrar original» y busca DKIM: 'PASS' with domain example.com.

Los errores de DKIM más comunes (y cómo corregirlos)

1. Comillas y saltos de línea pegados en el valor

Una clave de 2048 bits supera los 255 caracteres, el máximo de una sola cadena en un registro TXT, así que el DNS la guarda en varios fragmentos entre comillas —"v=DKIM1; k=rsa; p=MIIBIjAN..." "...IDAQAB"— y los resolutores los vuelven a unir. Sale mal cuando:

• pegas comillas en un panel que añade las suyas y el registro acaba con comillas literales dentro;
• copias desde un PDF o un correo y arrastras saltos de línea o espacios dentro de la clave;
• divides la clave en dos registros TXT separados en lugar de dos cadenas dentro del mismo registro.

Solución: pega el valor sin comillas, salvo que tu proveedor de DNS indique lo contrario; la mayoría de los paneles dividen los valores largos automáticamente. Después consulta el registro y compara el final de p= con el original: ahí se nota si se ha cortado.

2. Selector o nombre de host equivocado

El selector del DNS debe coincidir con el s= con el que firma tu plataforma. ¿Clave publicada en default._domainkey y la plataforma firmando con s1? Los receptores buscan un host que no existe. Revisa también la ortografía: _domainkey, con guion bajo delante.

Para saber tu selector, abre un correo que hayas enviado, mira los encabezados completos y lee el s= de la línea DKIM-Signature. Entre los habituales están google (Google Workspace) y selector1 / selector2 (Microsoft 365).

3. El dominio añadido dos veces

Muchos paneles DNS añaden tu dominio a lo que escribas en el campo de host. Escribes s1._domainkey.example.com y el registro se crea en s1._domainkey.example.com.example.com. En el panel parece correcto; todas las consultas fallan.

Solución: escribe solo s1._domainkey y confirma el nombre completo con una herramienta de consulta. La misma trampa afecta a los registros SPF; consulta nuestra guía para corregir errores en el registro SPF.

4. Claves de 1024 o de 2048 bits

Los grandes proveedores de correo siguen aceptando claves de 1024 bits, pero hoy el estándar recomendado es 2048: elígelo si puedes. Si tu panel DNS no admite valores TXT largos, pregunta a tu proveedor de envío por una configuración con CNAME.

5. No rotar nunca la clave

Las claves no deberían durar para siempre. Para rotar con seguridad, publica la nueva clave con un selector nuevo (por ejemplo s2) mientras la antigua sigue activa, cambia la firma al nuevo selector, mantén el registro antiguo unos días para los mensajes que aún están en tránsito y luego elimínalo. Sobrescribir la clave en el mismo sitio abre una ventana de firmas fallidas.

6. Reenvíos y pies de página que rompen la firma

DKIM firma el cuerpo del mensaje. Si algo lo modifica después de firmarlo, la huella deja de coincidir:

• listas de correo que añaden un pie con enlace de baja o un prefijo [Lista] en el asunto;
• pasarelas de seguridad que reescriben enlaces o insertan avisos de «remitente externo»;
• un aviso legal que añade tu propio servidor de correo después de que la plataforma haya firmado el mensaje.

El reenvío simple suele dejar DKIM intacto, y por eso DKIM importa más que SPF en el correo reenviado. El problema es la modificación, así que asegúrate de que nada de tu lado altere los mensajes una vez firmados.

7. DKIM pasa, pero no está alineado con tu dominio del From

El informe DMARC dice que DKIM ha pasado y, aun así, DMARC falla. La razón es la alineación: DMARC solo cuenta un DKIM válido si el dominio firmante (d=) coincide con el dominio de la dirección From visible.

• From facturas@example.com, firmado d=example.com → alineado.
• From facturas@example.com, firmado d=mail.example.com → alineado en modo relajado (el predeterminado).
• From facturas@example.com, firmado d=algunaplataforma.net → DKIM pasa, pero no está alineado, así que DMARC lo ignora.

Antes de pasar DMARC a p=quarantine o p=reject, todos los servicios que envían en nombre de tu dominio necesitan DKIM alineado (o SPF alineado). Nuestra guía DMARC: de p=none a p=reject te muestra cómo llegar con seguridad.

Checklist rápida de DKIM

• Registro en selector._domainkey.tudominio.com, con el dominio escrito una sola vez.
• El selector coincide con el s= de correos reales.
• El valor empieza por v=DKIM1, con una única clave p= completa, sin comillas ni espacios sobrantes, y un registro por selector.
• Clave de 2048 bits cuando sea posible; ningún t=y en producción.
• Dominio firmante d= alineado con tu dominio del From.
• Cada servicio que envía en nombre de tu dominio tiene su propio selector funcionando.

Cómo gestiona MailerBit el DKIM

MailerBit envía recordatorios de pago, extractos para clientes y otros correos recurrentes en los que cada destinatario recibe sus propios datos: mensajes que no pueden permitirse acabar en spam. Por eso verificas tu propio dominio antes de enviar una campaña.

• Los ajustes de dominio muestran exactamente los registros que debes añadir —un TXT para DKIM y un CNAME para el Return-Path— con host, valor y botones de copiar.
• El botón «Verificar estado» marca cada registro como verificado o pendiente.
• Las campañas se firman con DKIM para tu propio dominio, así que la firma está alineada con tu dirección From de cara a DMARC.
• Con tu propio dominio construyes tu propia reputación, los dominios nuevos pasan por un calentamiento automático de cinco días y las cuentas con más de un 5% de rebotes o un 0,1% de quejas se pausan automáticamente.

Más detalles en la página de entregabilidad.

Configura bien DKIM una sola vez

DKIM son cinco minutos cuando el registro entra bien en el DNS, y semanas de conjeturas cuando no. Pasa tus selectores por el verificador de DKIM, corrige lo que te señale y, si quieres una plataforma que genere los registros y firme cada recordatorio y cada extracto con tu propio dominio, crea tu cuenta en MailerBit.