Necesitas comprobar una clave DKIM, rotarla o averiguar por qué fallan las firmas, y lo primero que te pide cualquier herramienta es el selector, un nombre corto que nadie anotó. El selector decide qué registro DNS contiene la clave pública, así que sin él no puedes consultar el registro. Esta guía muestra cómo leer el selector de un mensaje real, qué probar cuando no tienes ningún mensaje, qué longitud debe tener tu clave y cómo rotar una clave sin interrumpir la firma.
La respuesta breve#
El selector es el valor de la etiqueta s= en la cabecera DKIM-Signature de cualquier mensaje que haya enviado tu dominio. Abre las cabeceras completas de un mensaje, busca DKIM-Signature: y lee s= para el selector y d= para el dominio firmante. La clave pública vive entonces en un registro TXT en selector._domainkey.d, por ejemplo mail._domainkey.example.com. Si no tienes un mensaje a mano, pide a tu proveedor de envío el registro DNS que te dijo que publicaras, porque el selector es la primera parte de su nombre. Tu clave debería ser RSA de 2048 bits: el RFC 8301 exige al menos 1024 y dice que los firmantes deberían usar al menos 2048. El analizador de cabeceras de correo muestra si DKIM pasó y si hay una firma, pero s= y d= los lees tú mismo en la línea DKIM-Signature. Después confirma la parte de DNS con el verificador de SPF, DKIM y DMARC.
Lee el selector de la cabecera de un mensaje#
Envíate un correo desde cada sistema que envía como tu dominio, como tu proveedor de buzones, tu plataforma de marketing, tu servicio transaccional y tu helpdesk. Abre el código fuente original o las cabeceras de la copia recibida. En Gmail, usa el menú del mensaje y elige "Mostrar original". Busca la línea que empieza por DKIM-Signature:.
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
d=example.com; s=mail2026; t=1730700000;
h=from:to:subject:date; bh=...; b=...
Aquí d=example.com es el dominio que firmó y s=mail2026 es el selector. Por tanto, la clave está en:
mail2026._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."
Consúltala directamente para confirmarlo:
dig +short TXT mail2026._domainkey.example.com
Dos cosas a las que prestar atención. Un mensaje puede llevar más de una DKIM-Signature, por ejemplo una de tu propio dominio y otra del dominio del servicio de envío. Mira cada valor de d=. Y fíjate en si d= es tu dominio. Muchas plataformas firman por defecto con su propio dominio, lo que pasa DKIM pero no se alinea con tu dirección From para DMARC. Si d= no eres tú, el remitente todavía no está configurado para tu dominio, y los fallos de alineación que siguen se confunden fácilmente con un problema de DNS.
Qué hacer cuando no tienes ningún mensaje#
A veces no hay nada que abrir: heredaste un dominio, el remitente está inactivo o quieres auditar antes de enviar. Tienes tres opciones.
- Consulta la página de configuración del proveedor. Cuando autenticaste un dominio con un remitente, te dijo que publicaras un registro CNAME o TXT. Su nombre empieza por el selector, por ejemplo
selector._domainkey. Ese registro, si sigue en tu zona DNS, es la respuesta. - Lee tu zona DNS. Busca nombres que terminen en
._domainkey. La etiqueta anterior es un selector. La lista de registros de tu proveedor de DNS, o una exportación de la zona, los muestra todos, y es el único lugar donde puedes enumerar lo que existe. - Adivina a partir de nombres comunes. Los proveedores usan valores por defecto predecibles, y una herramienta puede probarlos por ti. El monitoreo de salud del dominio de Qualisend prueba 25 nombres comunes cuando no has configurado ningún selector:
google,selector1,selector2,k1,k2,s1,s2,dkim,default,mail,smtp,mandrill,sendgrid,krs,protonmail,zendesk1,zendesk2,mxvault,everlytickey1,hs1,hs2,pm,fm1,fm2yfm3. Un acierto te dice que existe una clave. Un fallo no te dice nada, porque los selectores personalizados comomail2026son invisibles para la adivinanza.
Adivinar es un último recurso. Todo aquello de lo que dependas debería estar anotado con su selector, y por eso el primer paso de una rutina de salud del dominio es enumerar cada remitente y su selector.
Anatomía de un registro de clave DKIM#
El registro en el DNS es una lista de etiquetas, y conviene saber qué hace cada una.
| Etiqueta | Significado | Qué buscar |
|---|---|---|
v=DKIM1 | Versión | Opcional, pero si está presente debe ser DKIM1 |
k= | Tipo de clave | Por defecto rsa; también se ve ed25519 |
p= | Clave pública, en base64 | Debe contener datos. Un p= vacío significa que la clave está revocada |
t=y | Indicador de prueba | Marca el dominio como en pruebas de DKIM; quítalo cuando estés en producción |
Muchos proveedores publican un CNAME en el nombre del selector que apunta a una clave que ellos alojan, así que el registro que ves puede ser un alias. Es normal: permite al proveedor rotar las claves por ti. También significa que si el proveedor elimina el destino, tu selector deja de resolverse en silencio.
Longitud de la clave: 1024 o 2048#
El RFC 8301 fija las reglas. Los firmantes deben usar claves RSA de al menos 1024 bits y deberían usar al menos 2048. Los verificadores no deben tratar como válidas las claves de menos de 1024. Las directrices para remitentes de Google coinciden: 1024 es el mínimo y se recomienda 2048. Así que una clave de 1024 bits sigue funcionando, y precisamente por eso suele sobrevivir durante años, y es lo primero que conviene actualizar.
Hay un detalle práctico. Una clave pública de 2048 bits es más larga que los 255 caracteres que cabe en una sola cadena DNS. El registro debe publicarse como varias cadenas entre comillas dentro de un único registro TXT, que el DNS vuelve a unir.
mail2026._domainkey.example.com. TXT ( "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."
"...rest-of-the-key..." )
La mayoría de los proveedores de DNS lo hacen automáticamente cuando pegas el valor completo, pero no todos, y los fallos son silenciosos: una clave truncada o con caracteres sueltos falla la verificación aunque el registro exista. Después de publicar, consúltalo y compara la longitud. Las guías por proveedor de DNS muestran cómo gestiona cada uno los valores largos.
Si un servicio genera tu clave, normalmente eliges la longitud en sus ajustes al crearla, y cambiarla implica generar una clave nueva y un selector nuevo, es decir, una rotación.
Rotar una clave sin interrupciones#
Rotar es reemplazar una clave por otra nueva en un selector nuevo. No hay ninguna norma que diga cada cuánto. El consejo que respaldaríamos es rotar cuando una clave tenga menos de 2048 bits, cuando se vaya alguien con acceso a la clave privada, tras cualquier sospecha de exposición y, por lo demás, con una periodicidad que tu equipo vaya a cumplir de verdad, como una o dos veces al año. El procedimiento importa más que la cadencia.
- Genera la clave nueva en tu proveedor, o en tu propio servidor de correo, con un nombre de selector nuevo, como
mail2027. Nunca reutilices el nombre antiguo. - Publica el registro nuevo en el DNS y espera a que los resolvedores públicos lo devuelvan. Compruébalo con
digantes de hacer nada más. - Cambia la firma al nuevo selector en el sistema de envío. A partir de ese momento los mensajes llevan
s=mail2027. - Deja el registro antiguo en su sitio un tiempo. Los mensajes firmados con la clave antigua pueden seguir en tránsito o en cola, y los receptores verifican cuando reciben, no cuando enviaste. Una semana es una espera habitual y prudente.
- Retira la clave antigua eliminando el registro, o publícalo con un
p=vacío para indicar que está revocada a propósito. - Confirma enviando un mensaje de prueba y comprobando que
s=muestra el selector nuevo y que DKIM pasa.
El error más común es hacer el paso 5 antes que el 3, u omitir por completo el paso 2, lo que provoca que el correo se firme con un selector sin clave.
Vigilar un selector con el tiempo#
Un registro DKIM es fácil de romper y nadie lo nota. Una clave antigua eliminada demasiado pronto, un CNAME cuyo destino desapareció, una clave revocada por una limpieza demasiado entusiasta: cada caso deja al correo firmando con un selector que ya no se resuelve. El monitoreo de salud del dominio te permite listar hasta 10 selectores DKIM por dominio y los comprueba todos los días. Para cada uno confirma que hay una clave, lee el tamaño de la clave RSA y marca como problema "bad" una clave ausente o revocada, como advertencia una clave de 1024 bits, como "bad" cualquiera más corta, y como advertencia el indicador de prueba t=y. Si no configuras ninguno, recurre a los 25 nombres comunes de arriba y avisa cuando ninguno devuelve una clave.
Recuerda la consecuencia para la rotación. Cuando retires un selector antiguo, quítalo también de la lista monitorizada, o informará de una clave ausente. Y un límite: lee el DNS, así que no puede ver con qué selector firma realmente tu correo, y no alerta sobre la antigüedad de la clave. El panorama completo, con SPF y DMARC incluidos, está en monitoreo de la salud del dominio de correo, y la parte de SPF de las mismas comprobaciones está en SPF: demasiadas consultas DNS. Configurar DMARC explica cómo usa la alineación el dominio de d=.
Preguntas frecuentes
01¿Cómo encuentro mi selector DKIM?
Abre las cabeceras completas de un mensaje que envió tu dominio y lee la etiqueta s= de la cabecera DKIM-Signature. La clave se publica en selector._domainkey.tudominio.com. Si no tienes ningún mensaje, consulta el registro DNS que tu remitente te dijo que publicaras.
02¿Qué longitud de clave DKIM debo usar?
Usa RSA de 2048 bits. El RFC 8301 exige que los firmantes usen al menos 1024 bits y dice que deberían usar al menos 2048, y Google recomienda 2048. Una clave de 1024 bits sigue funcionando, pero es la primera que conviene actualizar.
03¿Cada cuánto debo rotar las claves DKIM?
No hay un intervalo obligatorio. Rota cuando una clave tenga menos de 2048 bits, cuando se vaya alguien con acceso, tras una sospecha de exposición y, por lo demás, con una periodicidad que vayas a cumplir, como una o dos veces al año. Solapa la clave antigua y la nueva.
04¿Puedo listar todos los selectores DKIM de un dominio?
No. El DNS no tiene forma de listar los nombres bajo _domainkey. Puedes leer los selectores en las cabeceras de los mensajes, en las páginas de configuración de tu remitente o en tu zona DNS, y un verificador solo puede adivinar nombres comunes, así que no encontrará los selectores personalizados.
DKIM demuestra que un mensaje procede de verdad de tu dominio, pero no que la dirección del otro lado exista. El verificador de correo gratuito comprueba una dirección cada vez: sintaxis, registros MX y errores tipográficos. Para limpiar una lista entera, el plan gratuito de la página de precios incluye 100 créditos que ejecutan la verificación completa, porque un mensaje bien firmado sigue necesitando una lista sana para ganarse la bandeja de entrada.
