netlupaComprobar la clave DKIM de un dominio
DKIM firma cada correo para que el receptor compruebe que no lo ha enviado nadie más. Escribe el dominio y, si lo sabes, su selector.
Cómo funciona DKIM
El servidor que envía el correo lo firma con una clave privada y añade la cabecera DKIM-Signature. El receptor lee en esa cabecera el dominio (d=) y el selector (s=), consulta el registro TXT selector._domainkey.dominio y comprueba la firma con la clave pública que encuentra allí.
El selector permite tener varias claves a la vez: una por proveedor o una nueva cuando rotas la antigua. Por eso no hay forma de listar todas las claves de un dominio: hay que saber el selector. Si no lo indicas, la herramienta prueba los de los proveedores más comunes.
La clave debe ser RSA de al menos 1024 bits (se recomiendan 2048) o Ed25519. Una clave vacía (p=) significa que el selector se ha revocado.
Cada registro, en detalle
Preguntas frecuentes
¿Cada cuánto debo cambiar la clave DKIM?
Se recomienda rotarla al menos una vez al año, publicando primero la nueva con otro selector, cambiando la firma y retirando la antigua unos días después.
¿Por qué mi clave de 2048 bits no cabe en el DNS?
Un TXT admite cadenas de 255 caracteres como máximo, pero un registro puede tener varias cadenas seguidas. Los paneles DNS modernos las parten solos; si el tuyo no, divide la clave en trozos entre comillas.
¿Cuál es mi selector DKIM?
Abre un correo que hayas enviado, mira su código fuente o cabeceras originales y busca DKIM-Signature: el valor de «s=» es el selector y el de «d=» el dominio. Google Workspace suele usar «google» y Microsoft 365 «selector1» y «selector2».
¿Es mejor «~all» o «-all»?
Con DMARC en marcha, la diferencia práctica es pequeña, porque decide la política DMARC. «-all» es más estricto; «~all» es más tolerante con reenvíos y servicios olvidados. Si no tienes DMARC, «-all» protege más.
He cambiado el DNS y la herramienta no lo ve, ¿por qué?
Los registros DNS se guardan en caché el tiempo que indica su TTL (a menudo una hora). Espera ese tiempo y vuelve a comprobarlo. Comprueba también que el registro está en el dominio correcto (por ejemplo, _dmarc.tudominio.com para DMARC).
¿Necesito SPF y DMARC en un dominio que no envía correo?
Sí, y es muy recomendable: publica «v=spf1 -all» y «v=DMARC1; p=reject;» para que nadie pueda usar ese dominio para enviar correos falsos.
¿Guardáis los dominios que compruebo?
No. Consultamos el DNS público en el momento, con nuestro propio resolvedor, y no guardamos ni el dominio ni el resultado.