Compruebe claves y firmas DKIM en segundos. Verifique selectores, longitud de clave y registros TXT para prevenir spoofing y problemas de entrega.
Introduzca su dominio y (opcionalmente) un selector para validar su configuración DKIM.
El verificador DKIM de DMARCFlow prueba y verifica la configuración DKIM de su dominio para asegurarse de que está correctamente establecida. Confirma que los correos están firmados con su clave privada y que la firma permanece intacta, garantizando autenticidad e integridad del mensaje.
Compruebe que una clave pública está correctamente publicada bajo un selector y detecte problemas antes de que afecten a la entrega o a la seguridad.
Un registro DKIM es una entrada DNS TXT que contiene un selector y una clave pública. El selector apunta a la clave privada que firma los correos; la clave pública permite a los receptores verificar la firma y confirmar la integridad.
Analizar dominioEjemplo: mailo es el selector y dmarcflow.online es el dominio. v=DKIM1 marca el tipo de registro, k=rsa el algoritmo de clave, y p=... contiene la clave pública.
DKIM añade una firma digital a los correos salientes. Su servidor firma con una clave privada; los receptores obtienen su clave pública del DNS y verifican la firma. Las firmas coincidentes indican autenticidad; las discrepancias señalan riesgo. Resultado: mayor reputación y mejor colocación en la bandeja de entrada.
Una lista de verificación rápida para mantener la autenticación sólida y la entregabilidad alta
Prefiera claves de 2048 bits para mayor seguridad y mejor aceptación por parte de las principales bandejas de entrada.
Use selectores distintos por flujo de correo (marketing, transaccional) para rotar de forma segura.
Publique registros TXT directamente a menos que su proveedor requiera un alias gestionado.
Introduzca nuevos selectores, actualice los firmantes y luego deprecie las claves antiguas tras la migración.
Qué significa cada estado de verificación DKIM y qué debe hacer al respecto.
La firma DKIM es válida. La clave pública en el DNS coincide con la clave privada que firmó el mensaje y el contenido del correo no ha sido modificado en tránsito. Su configuración DKIM funciona correctamente.
La firma no se verificó. El mensaje fue modificado tras la firma, se usó la clave privada incorrecta o la clave pública en el DNS no coincide. Compruebe si el cuerpo o las cabeceras del correo fueron alterados; las listas de correo son una causa frecuente.
No existe ningún registro TXT DKIM en el selector y dominio especificados. El selector es incorrecto, el registro nunca fue publicado o fue eliminado. Verifique el nombre del selector con su proveedor de correo y vuelva a publicar el registro.
La clave pública tiene menos de 1024 bits. Los estándares modernos requieren al menos claves RSA de 2048 bits. Las claves cortas se consideran débiles y algunos proveedores rechazarán los mensajes firmados con ellas. Rote a una clave de 2048 bits de inmediato.
La firma está presente pero el hash del cuerpo no coincide. El contenido del correo fue modificado tras la firma; esto ocurre frecuentemente cuando un relay o lista de correo añade un pie de página o modifica cabeceras. Configure su lista de correo para romper la firma DKIM de forma limpia en lugar de corromperla silenciosamente.
La búsqueda DNS del registro DKIM agotó el tiempo de espera. Es un error transitorio, pero si se repite indica un problema de infraestructura DNS. Verifique el estado de su proveedor DNS y compruebe si el registro está publicado con un TTL suficientemente corto.
Las causas más frecuentes de fallos DKIM en los informes DMARC y sus soluciones.
Cada firma DKIM hace referencia a un selector. Si no conoce su selector, consulte la cabecera DKIM-Signature de un correo enviado; la etiqueta s= contiene el nombre del selector.
Corrección: Use el selector de la documentación de su servidor de correo o proveedor. Selectores habituales: google, s1, s2, default, mail.
Que DKIM pase no es suficiente para DMARC. El dominio en la etiqueta DKIM d= debe coincidir con el dominio de la cabecera From:. Si su ESP firma con su propio dominio en lugar del suyo, el alineamiento falla.
Corrección: Configure su ESP para que firme con su dominio. La mayoría de las plataformas principales (Mailchimp, HubSpot, SendGrid) admiten la firma DKIM personalizada.
Los mensajes reenviados suelen tener su cuerpo modificado (se añaden pies de página, cambia la codificación), lo que rompe el hash del cuerpo DKIM y provoca un fallo. Esto es un comportamiento esperado; no es culpa suya.
Corrección: Use canonicalización relajada (c=relaxed/relaxed) que tolera cambios menores de espacios en blanco. En escenarios de reenvío, DMARC seguirá pasando si el alineamiento SPF se mantiene.
Al rotar las claves DKIM, el selector antiguo se elimina del DNS antes de que el servidor de correo haya cambiado a la nueva clave, o el nuevo registro DNS aún no se ha propagado.
Corrección: Publique siempre primero el nuevo selector, espere la propagación DNS (hasta 48 horas) y luego cambie el servidor de correo para que firme con la nueva clave. Solo entonces retire el selector antiguo.
Preguntas habituales sobre DKIM y DMARCFlow
¿Preguntas? ¡Tenemos respuestas!selector._domainkey.example.com.