Crea el nombre de host DNS DKIM y el formato de registro TXT correctos para tu dominio y selector. Pega tu clave pública y publícala.
Valores habituales: mail, google, s1, default. Usa el selector que indique tu proveedor de correo.
DKIM (DomainKeys Identified Mail) es un método de autenticación de correo que permite al remitente firmar criptográficamente cada mensaje saliente. El servidor de correo receptor verifica esta firma con una clave pública publicada en el DNS del remitente. Una firma DKIM válida demuestra dos cosas: que el mensaje procede realmente del dominio indicado y que no se alteró en tránsito.
A diferencia de SPF, que comprueba la IP de envío frente a una lista permitida, DKIM funciona adjuntando una firma digital al propio mensaje. Por eso la verificación DKIM sobrevive al reenvío de correo, donde SPF suele fallar porque la IP del servidor de reenvío no figura en el registro SPF original.
Un registro DKIM es un registro DNS TXT publicado en un subdominio concreto: selector._domainkey.yourdomain.com. El selector es una etiqueta que eliges: los valores habituales son mail, google, s1 o default. El valor del registro empieza por v=DKIM1; k=rsa; p= seguido de tu clave pública codificada en base64.
La clave privada se mantiene en secreto en tu servidor de correo o la gestiona tu proveedor de correo. La clave pública es lo que publicas en DNS. Los servidores receptores usan la clave pública para verificar las firmas creadas con la clave privada: el patrón clásico de criptografía de clave pública.
Tu clave pública DKIM la genera tu proveedor de correo cuando activas la firma DKIM. Así es como la encuentras en los proveedores más habituales:
Usa una longitud de clave de 2048 bits siempre que sea posible: las claves de 1024 bits se consideran débiles y algunos sistemas de correo pueden marcarlas. Rota las claves DKIM periódicamente (al menos una vez al año) para limitar la exposición si una clave se ve comprometida. Conserva la clave anterior en DNS unos días después de rotar para que los mensajes en tránsito puedan verificarse.
DKIM por sí solo no protege la cabecera From visible. Para completar la autenticación de correo, añade una política DMARC que alinee los resultados DKIM con el dominio From. Una lista de correo limpia también importa: incluso el correo autenticado acaba en spam si rebota de forma repetida. Usa verificación de correo para eliminar direcciones no válidas, o verifica listas grandes con verificación masiva de correos.
Entradas de clave y selector
Un registro DNS DKIM publica una clave pública bajo un selector. La clave privada correspondiente debe permanecer dentro del sistema que firma los mensajes salientes.
Un selector como google, s1 o mail se convierte en selector._domainkey.example.com. Distintos proveedores y periodos de rotación pueden usar selectores diferentes sin sustituir todas las claves DKIM del dominio.
Elige el selector que tu plataforma de envío está configurada para colocar en la etiqueta s= de la cabecera DKIM-Signature. Un registro DNS bajo otro selector nunca se consultará para ese mensaje.
El valor p= es la clave pública en base64 que usan los receptores. La clave privada firma los mensajes y debe permanecer en secreto en tu proveedor, agente de transferencia de correo o sistema seguro de claves.
Este generador da formato al nombre del propietario DNS y al valor TXT en torno a una clave pública. No crea ni instala la configuración de firma privada que usa tu flujo de correo.
Anatomía del registro
El registro DNS es breve, pero cada campo se conecta con una decisión de firma a nivel de mensaje.
La etiqueta de versión distingue los datos de clave DKIM de otro contenido TXT. k=rsa identifica el tipo de clave cuando se usa RSA, y p= transporta el material de la clave pública sin cabeceras PEM ni texto de clave privada.
El receptor combina el dominio firmante de d= con el selector de s= para construir la consulta DNS. El nombre de propietario generado debe coincidir exactamente con ese par, incluido cualquier subdominio de envío.
Los proveedores DNS a veces dividen un valor DKIM largo en varias cadenas de caracteres entre comillas. DNS concatena esas cadenas en la respuesta TXT; las comillas y los espacios que ves en el panel de control no forman parte automáticamente de la clave pública.
DNS puede contener un registro válido aunque el remitente omita DKIM-Signature, firme con otro selector, use un dominio que no coincida o falle la canonicalización. Confirma la ruta del mensaje después de publicar.
Flujo de implementación
Mantén sincronizados la publicación DNS y la firma del sistema de correo con cuatro pasos explícitos.
Usa la configuración de autenticación de dominio del proveedor o las herramientas de claves compatibles con tu servidor de correo. Prefiere un tamaño de clave actual admitido tanto por el remitente como por el host DNS, y nunca pegues la clave privada en esta página.
Introduce el dominio de envío exacto, el selector y la clave pública. Copia el propietario y el valor por separado, porque las interfaces DNS varían en si añaden automáticamente el nombre de la zona.
Espera el TTL DNS aplicable y usa el Comprobador de registros DKIM para confirmar que selector._domainkey devuelve la clave pública esperada.
Revisa las cabeceras DKIM-Signature y Authentication-Results recibidas en busca del dominio d= esperado, el selector s= y dkim=pass. Un DNS correcto sin un pass a nivel de mensaje es una implementación incompleta.
Límites de seguridad
El registro público es solo la mitad de DKIM que ve el receptor.
El almacenamiento de la clave privada, el control de acceso, la configuración del servicio de firma y la rotación ante incidentes corresponden a tu proveedor o servidor de correo. Exponer la clave privada permite que otro sistema cree firmas en las que los receptores podrían confiar.
El sistema de correo decide qué cabeceras y qué representación del cuerpo firmar. Los intermediarios que modifican el contenido firmado pueden invalidar la firma aunque la clave DNS sea correcta.
Publica un registro SPF para describir los remitentes del sobre permitidos. DKIM y SPF aportan pruebas distintas y deben implementarse juntos.
Usa el Generador DMARC para indicar cómo deben tratar los receptores el correo cuando SPF y DKIM alineados no respaldan el dominio From visible.
Referencia autorizada
El estándar conecta las claves públicas DNS con los campos de firma añadidos a cada mensaje.
El RFC 6376 de la IETF define el espacio de nombres _domainkey, la búsqueda por selector, las etiquetas DKIM-Signature, la canonicalización, la firma y el comportamiento de verificación.
Comprueba la clave pública con el Comprobador DKIM, inspecciona las cabeceras reales del mensaje y confirma la alineación con el Comprobador DMARC.
Elige la siguiente herramienta según el tipo de evidencia: destinatario, descubrimiento, DNS e infraestructura, o flujo del remitente.
Herramientas gratuitas
Comprueba el registro DKIM de cualquier dominio y selector. Consulta la clave pública completa y si la firma DKIM está bien configurada. Gratis, sin registro.
Evidencia de dominio o infraestructura — no prueba del buzón.
Herramientas gratuitas
Genera un registro DNS SPF válido para tu dominio en segundos. Añade servidores de correo, directivas include y elige la política. Gratis, sin registro.
Evidencia de dominio o infraestructura — no prueba del buzón.
Herramientas gratuitas
Crea un registro TXT DMARC con política, alineación y opciones de informes. Generador gratuito de autenticación de correo.
Evidencia de dominio o infraestructura — no prueba del buzón.
Herramientas gratuitas
Consulta registros A, AAAA, MX, TXT, NS o CNAME de cualquier dominio. Búsqueda DNS en vivo con resultados instantáneos. Gratis, sin registro.
Evidencia de dominio o infraestructura — no prueba del buzón.
Herramientas de email
Prueba de entregabilidad sobre una muestra real. Revisa SPF, DKIM, DMARC, DNS, listas negras, filtro de spam, cabeceras y contenido.
Diagnóstico del remitente o del mensaje — no descubrimiento de direcciones.
Herramientas de verificación de email
Comprueba si un email es válido con un verificador gratis que ejecuta sintaxis, MX, SMTP del buzón, desechable, rol y catch-all.
Evidencia del destinatario — no configuración del remitente ni de DNS.
Un selector DKIM es un nombre corto (como mail o google) que apunta a una clave pública concreta en DNS. Permite publicar varias claves para el mismo dominio, por ejemplo una para Google Workspace y otra para un ESP de marketing.
Publícalo como registro TXT en selector._domainkey.yourdomain.com. Sustituye selector por el valor que te dio tu proveedor y yourdomain.com por tu dominio de envío.
SPF comprueba la IP de conexión. Tras un reenvío, esa IP cambia y SPF suele fallar. DKIM firma el contenido del mensaje y determinadas cabeceras, así que la verificación sigue funcionando después de varios reenvíos.
Prefiere claves de 2048 bits si tu proveedor DNS admite valores TXT largos. Algunos hosts DNS antiguos exigen dividir los registros largos; la mayoría de los proveedores actuales gestionan bien las claves de 2048 bits.
No. Usa ambos. SPF autoriza las IP de envío; DKIM firma los mensajes. DMARC alinea esos resultados con el dominio From e indica a los receptores qué hacer si falla.
Envía un mensaje de prueba a un buzón que controles, abre las cabeceras en bruto y busca dkim=pass en Authentication-Results. También puedes usar nuestra herramienta Analizador de cabeceras de correo.
La autenticación protege tu dominio. Las listas limpias protegen tu reputación. BillionVerify verifica direcciones con precisión a nivel SMTP.
600/mes + 20/día por inicio de sesión · Precisión SMTP del 99,9% · Acceso API instantáneo · Sin tarjeta de crédito
