¿Qué es DKIM?

DomainKeys Identified Mail (DKIM) es un protocolo de autenticación de correo electrónico que permite al servidor de correo remitente firmar criptográficamente los mensajes salientes. La firma se coloca en un encabezado especial del correo, y la clave pública correspondiente se publica en un registro DNS TXT bajo un subdominio específico del selector.

Cuando un servidor receptor recibe un correo que afirma ser de tu dominio, busca la clave pública DKIM en DNS usando el selector especificado en el encabezado del correo, y luego usa esa clave para verificar la firma digital. Si la firma coincide, el receptor sabe que el mensaje no fue manipulado y fue enviado por un servidor autorizado.

Comprendiendo los selectores DKIM

Un selector DKIM es una cadena de texto utilizada para localizar la clave pública DKIM en DNS. La búsqueda DNS completa es: selector._domainkey.yourdomain.com. Diferentes servicios de correo usan diferentes selectores, lo que permite a un dominio tener múltiples claves DKIM para diferentes servicios de envío simultáneamente.

Los selectores comunes incluyen default (genérico), google (Google Workspace), selector1 y selector2 (Microsoft 365), k1 (Mailchimp) y pm (Postmark). Tu proveedor de correo te indicará qué selector usar al configurar DKIM.

Por qué DKIM es importante para la entregabilidad

DKIM es uno de los tres pilares de la autenticación de correo electrónico, junto con SPF y DMARC. Sin una firma DKIM válida, tus correos tienen más probabilidades de ser marcados como spam o rechazados por completo. Los principales proveedores de correo como Gmail y Outlook dan gran importancia al estado de DKIM al tomar decisiones de filtrado.

Un registro DKIM correctamente configurado construye la reputación de tu dominio con el tiempo, aumentando las posibilidades de que tus mensajes lleguen a la bandeja de entrada. También protege tu marca contra la suplantación de correo y ataques de phishing que podrían dañar tu reputación como remitente.

Cómo solucionar problemas de DKIM

• Registro no encontrado: Verifica que el selector sea correcto y que el registro DNS TXT esté publicado en el subdominio correcto. La propagación DNS puede tardar hasta 48 horas.
• Modo de prueba (t=y): Elimina la bandera t=y una vez que hayas confirmado que la firma DKIM funciona correctamente en producción.
• Longitud de clave débil: Usa al menos una clave de 1024 bits. Se recomiendan claves RSA de 2048 bits para mayor seguridad.
• Delegación CNAME: Algunos proveedores usan un registro CNAME que apunta a su clave DKIM. Asegúrate de que el CNAME resuelva correctamente a un registro TXT válido.