Este comprobador gratuito de registros DKIM resuelve el registro activo en selector._domainkey, valida la clave pública y detecta truncamientos, claves débiles y el modo de prueba. Comprobador y validador en uno, sin registro.
Un comprobador DKIM resuelve el registro TXT en selector._domainkey.yourdomain y valida la clave pública que encuentra. A diferencia de SPF o DMARC, no hay un nombre de host fijo; por eso pide el selector: un registro DKIM perfecto en el selector equivocado simplemente no es accesible.
Este comprobador gratuito de registros DKIM analiza la clave en lugar de limitarse a indicar que existe una cadena. El truncamiento es el fallo habitual: una clave pública DKIM es larga, y los paneles DNS dividen los valores TXT largos de formas que producen un registro que parece correcto en el panel, pero falla la validación. Solo una comprobación de DNS activo permite detectarlo.
Es un comprobador y validador de registros DKIM, no una simple consulta: informa de la longitud y el tipo de clave, la etiqueta v=DKIM1 y el indicador de prueba t=y. Ejecuta el comprobador después de cada publicación y de cualquier rotación de claves del proveedor.
Si no conoces el selector, consulta la etiqueta s= en la cabecera DKIM-Signature de un mensaje que hayas enviado. Estos son los valores predeterminados que el comprobador de registros DKIM encuentra con más frecuencia.
Google Workspace firma con el selector google de forma predeterminada. Consúltalo primero en el comprobador DKIM.
Microsoft 365 usa selector1 y selector2 mediante CNAME. Ejecuta el comprobador DKIM con ambos.
SendGrid usa s1 y s2 mediante registros CNAME. El comprobador DKIM sigue la cadena automáticamente.
Amazon SES publica tres selectores CNAME. Comprueba cada uno después de la configuración.
Qué resuelve
Un comprobador DKIM resuelve el registro TXT en selector._domainkey y valida la clave pública que encuentra. Ese nombre de host oculta la mayoría de los problemas, porque un registro perfecto en el selector equivocado es inaccesible y ningún comprobador puede encontrarlo.
A diferencia de SPF o DMARC, no hay un nombre de host fijo que consultar. El comprobador DKIM solicita el selector porque un registro DKIM se encuentra en selector._domainkey.yourdomain y en ningún otro lugar.
Si no conoces el selector, consulta la cabecera DKIM-Signature de un mensaje que hayas enviado. La etiqueta s= es el selector que necesita el comprobador de registros DKIM.
Un registro DKIM puede existir y seguir roto: puede estar truncado por un panel DNS, carecer de la etiqueta v=DKIM1 o contener una clave base64 mal formada. Un comprobador gratuito analiza la clave en lugar de limitarse a indicar que existe una cadena.
El truncamiento es el caso más habitual. Una clave pública DKIM es larga, y los paneles dividen los valores TXT largos de formas que producen un registro que parece correcto, pero falla la validación.
RSA de 2048 bits es el estándar moderno. Un comprobador y validador de registros DKIM informa de lo que está realmente publicado, lo que permite encontrar una clave de 1024 bits que un proveedor configuró hace años y nadie rotó.
En la práctica, el tipo de clave importa menos: prácticamente todas las implementaciones usan RSA.
t=y marca un registro DKIM como de prueba, y los receptores tratan las firmas en consecuencia. Dejar registros en modo de prueba tras el lanzamiento es un descuido habitual.
Un comprobador DKIM que ignore la etiqueta t considerará válido un registro aunque los receptores reduzcan la confianza en todas las firmas que abarca.
Hallazgos
Cinco hallazgos, cada uno con una solución concreta.
El selector es incorrecto o el registro nunca se publicó. Consulta la etiqueta s= en una cabecera DKIM-Signature real antes de concluir que falta el registro.
Un comprobador DKIM no puede adivinar el selector, y probar unos cuantos en la herramienta es más rápido que leer la documentación del proveedor.
El fallo clásico del panel DNS. Un comprobador gratuito de registros DKIM indicará que la clave está mal formada aunque el panel la muestre completa.
Vuelve a publicar el registro, preferiblemente pegándolo como un único valor continuo, y ejecuta de nuevo el comprobador cuando termine la propagación.
Es válida, pero más débil de lo recomendable. La mayoría de los proveedores ya emiten claves de 2048 bits y permiten rotarlas.
Rótala mediante tu proveedor en lugar de editarla a mano; el comprobador DKIM confirmará que la nueva clave se resuelve.
t=y sigue configurado. Los receptores saben que no deben confiar operativamente en la firma.
Elimina el indicador y vuelve a publicar el registro. Es una corrección de un carácter que un comprobador y validador de registros DKIM encuentra en segundos, pero puede pasar inadvertida durante años.
Superar DKIM y alinearse con DKIM son cosas distintas. El dominio firmante debe coincidir con el dominio From visible para que DMARC lo acepte.
Consulta la cabecera Authentication-Results de un mensaje real; un comprobador de registros DKIM no puede ver por sí solo la alineación.
Cuándo ejecutarlo
DKIM puede romperse sin avisar, y el único síntoma es que el correo empieza a fallar discretamente la alineación semanas después. Por eso el comprobador DKIM debe formar parte de la rutina, no limitarse a las emergencias.
La propagación y las alteraciones del panel hacen que el registro guardado y el servido no sean siempre idénticos. Ejecuta cualquier comprobador gratuito de registros DKIM en cuanto termine la propagación.
Este sencillo hábito detecta el truncamiento antes de que afecte al correo.
Los proveedores rotan las claves DKIM según su propio calendario. Las configuraciones basadas en CNAME se actualizan automáticamente, pero las basadas en TXT no.
Vuelve a ejecutar el comprobador DKIM después de cualquier aviso del proveedor sobre una rotación de claves.
Los informes agregados identifican la fuente que falla. Consulta el selector de ese proveedor con el comprobador de registros DKIM antes de asumir que la culpa es suya.
La mitad de las veces, simplemente falta el registro de un remitente que nadie recordó configurar.
Cambiar a p=reject con un registro DKIM roto en cualquier remitente legítimo provoca la pérdida de correos reales desde el primer día.
Comprueba primero todos los selectores y verifica también la lista de destinatarios con Email Verifier — la autenticación y la higiene de la lista pueden hacer fracasar una campaña de forma independiente.
Límites
Un comprobador de registros DKIM resuelve un solo registro. Hay cuatro aspectos que quedan fuera de su alcance.
Tener un registro publicado y que el proveedor firme realmente son estados distintos. El comprobador DKIM lee DNS; no puede saber si tu ESP aplica la firma.
Envía un mensaje de prueba y consulta la cabecera DKIM-Signature para confirmar que la firma está activa.
Superar DKIM y alinearse con el dominio From visible son cosas distintas. Solo la evaluación DMARC muestra la diferencia.
Un resultado correcto del comprobador DKIM en un dominio de firma no alineado sigue fallando DMARC.
No hay forma de enumerar los selectores desde DNS. El comprobador DKIM necesita el selector, y la fuente autorizada es tu proveedor o una cabecera DKIM-Signature real.
Es una propiedad del protocolo, no una limitación de la herramienta.
La autenticación del remitente y la verificación del destinatario no están relacionadas. Un registro DKIM perfecto no significa que existan las direcciones a las que envías.
Ejecuta ambas comprobaciones antes de una campaña.
Referencia
La IETF define DKIM, y las herramientas relacionadas con este comprobador cubren lo que él no puede comprobar.
El RFC 6376 define DKIM, sus etiquetas y la convención de selectores que valida este comprobador de registros DKIM.
Cada hallazgo que muestra nuestro comprobador gratuito de registros DKIM corresponde a una regla de ese documento.
Si el comprobador DKIM no encuentra nada, el Generador de registros DKIM crea un registro válido en el nombre de host del selector correcto.
Genéralo allí y compruébalo aquí; ninguna de las dos herramientas detecta por sí sola las alteraciones del panel.
DKIM es una de las tres partes. El Comprobador SPF y el comprobador DMARC cubren la autorización de IP y la alineación del dominio From.
Un resultado correcto del comprobador de registros DKIM en un dominio sin política DMARC implica que el correo está firmado, pero el dominio aún puede suplantarse.
Diecinueve herramientas gratuitas junto a las funciones de IA de pago, todas sin necesidad de una cuenta.
Herramientas gratuitas
Generador gratuito de registros DKIM: crea el registro TXT v=DKIM1 y el host selector._domainkey para cualquier proveedor. Sin registro.
Evidencia de dominio o infraestructura — no prueba del buzón.
Herramientas gratuitas
Comprobador de registros SPF gratis: consulta el SPF activo de cualquier dominio, cuenta las consultas DNS y valida la sintaxis. Sin registro.
Herramientas gratuitas
Comprobador DMARC gratis: resuelve el registro activo de cualquier dominio, analiza sus etiquetas y muestra la política efectiva. Sin registro.
Herramientas gratuitas
Consulta gratuita de registros DNS para cualquier dominio: A, AAAA, MX, TXT, NS, CNAME y SOA en vivo desde servidores autoritativos. Sin registro.
Herramientas de email
Analizador gratuito de cabeceras de email: pega cabeceras en bruto y obtén resultados SPF, DKIM y DMARC, la ruta de entrega y los campos clave.
Diagnóstico del remitente o del mensaje — no descubrimiento de direcciones.
Herramientas de email
Prueba gratis de entregabilidad: envía un mensaje y obtén puntuaciones de autenticación, DNS, spam, listas negras, cabeceras y contenido. Sin registro.
Sí: nuestro comprobador gratuito de registros DKIM no requiere registro ni cuenta. Úsalo con tantos dominios y selectores como necesites. Resuelve el DNS activo en cada solicitud en lugar de mostrar un veredicto DKIM almacenado en caché.
Porque un registro DKIM se encuentra en selector._domainkey.yourdomain y no hay forma de enumerar los selectores desde DNS. Un comprobador y validador de registros DKIM no puede adivinarlo. Consulta la etiqueta s= en una cabecera DKIM-Signature real o revisa la documentación de tu proveedor.
Casi siempre se debe al truncamiento en el panel DNS. Una clave pública DKIM es larga, y muchos paneles dividen o recortan los valores TXT largos al guardarlos. Nuestro comprobador gratuito de registros DKIM informa de lo que realmente sirven tus servidores de nombres, que es la única versión que ven los receptores. Vuelve a publicarlo como un único valor continuo y ejecuta de nuevo el comprobador.
La etiqueta t=y marca el registro como de prueba, y los receptores reducen la confianza en las firmas que abarca. Un comprobador y validador de registros DKIM lo señala porque dejar registros en modo de prueba tras el lanzamiento es un descuido habitual que puede durar mucho tiempo.
Es válida, pero más débil de lo recomendable. La mayoría de los proveedores ya emiten claves de 2048 bits. Rótala mediante tu proveedor en lugar de editar el registro a mano y confirma después con el comprobador DKIM que la nueva clave se resuelve correctamente.
Superar DKIM y alinearse con DKIM son cosas distintas: el dominio firmante debe coincidir con el dominio From visible. Un resultado correcto del comprobador DKIM en un dominio de firma no alineado sigue fallando DMARC. Consulta la cabecera Authentication-Results de un mensaje real para saber qué ha fallado.
Este comprobador gratuito de registros DKIM no requiere registro. Resuelve el registro activo de tu selector, valida la clave y detecta truncamientos antes que los receptores.
Comprobador gratuito de registros DKIM · Comprobador DKIM con DNS activo · Comprobador y validador de registros DKIM · Comprobador DKIM sin cuenta
