DKIM explicado
¿Qué es exactamente DKIM?
DKIM es uno de los tres pilares de la autenticación del correo, junto con SPF y DMARC. El nombre significa DomainKeys Identified Mail. Mientras SPF comprueba qué servidor puede enviar, DKIM va un paso más allá: demuestra que el contenido de tu mensaje no se ha modificado por el camino.
Funciona con un par de claves. Hay una clave secreta (privada) que solo conoce tu servidor de envío y una clave pública que publicas en tu DNS. Al enviar, el servidor pone una firma sobre el mensaje con la clave secreta. El destinatario obtiene tu clave pública y comprueba con ella si la firma es correcta.
Piensa en un sello de lacre en una carta. Solo tú tienes el sello (la clave secreta), y cualquiera puede ver en el lacre si la carta se ha abierto por el camino. Si la firma es válida, el destinatario sabe dos cosas: el mensaje procede de verdad de tu dominio y el contenido no se ha manipulado.
¿Qué hace DKIM por ti?
DKIM aporta tres ventajas concretas.
- Prueba de autenticidad. La firma confirma que el mensaje procede de tu dominio.
- Protección contra la manipulación. Si el contenido se modifica por el camino, la firma deja de ser correcta y se nota.
- Mejor entregabilidad. Los grandes proveedores de correo ven las firmas DKIM válidas como señal de un remitente serio, lo que aumenta las probabilidades de llegar a la bandeja de entrada.
Desde 2024 esto pesa todavía más: los grandes proveedores de correo exigen a quienes hacen envíos masivos que su correo esté correctamente autenticado, y DKIM forma parte fija de ello. Si ves que tus mensajes acaban de todos modos en el spam, lee por qué tu correo acaba en el spam.
¿Cómo se configura bien DKIM?
Configurar DKIM se reduce a dos cosas: el servidor de envío hace que se firmen los mensajes y tú publicas la clave pública correspondiente en tu DNS.
Los pasos, a grandes rasgos:
- Genera un par de claves (normalmente lo hace tu proveedor de correo). La clave secreta se queda en el servidor; la clave pública te la dan a ti.
- Publica la clave pública como un registro DNS de tipo TXT, en una dirección con un llamado selector, por ejemplo
selector1._domainkey.tudominio.eu. - Activa la firma en el servidor de envío, para que cada mensaje saliente lleve una firma.
- Prueba con un mensaje de prueba y comprueba si la firma es válida en el lado del destinatario.
A qué prestar atención:
- El selector debe coincidir. El nombre que figura en tu firma debe coincidir exactamente con el registro DNS que publicas.
- Guarda bien la clave secreta. Si se filtra, otra persona puede crear firmas válidas en tu nombre. En ese caso, rota la clave.
- Copia la clave pública entera. Un solo carácter que falte invalida la comprobación.
- Elige una clave lo bastante robusta (hoy se recomiendan 2048 bits en lugar de 1024 bits).
Si quieres hacerlo tú mismo, sigue la guía aparte para configurar el registro DKIM. Encontrarás una definición breve en el glosario, en qué es DKIM.
DKIM funciona mejor junto con SPF y DMARC
DKIM demuestra que tu mensaje es auténtico y que no se ha modificado, pero por sí solo no dice qué servidores pueden enviar (eso lo hace SPF) ni determina qué debe pasar si falla una comprobación (eso lo hace DMARC). Solo cuando los tres están en su sitio cierras de verdad la puerta. Cómo coordinarlos lo puedes leer en la guía para configurar SPF, DKIM y DMARC juntos.
Cómo lo resuelve Mailflux por ti
En Mailflux no tienes que generar claves ni pegar registros DNS. Nosotros gestionamos SPF, DKIM y DMARC para tu dominio y vigilamos la reputación de IP de nuestros servidores de envío, para que tu correo saliente vaya bien firmado y lleve las señales correctas. Además, todos los planes filtran el spam, el phishing y el malware con aprendizaje automático (machine learning), con antivirus, antispam, antimalware y copias de seguridad automáticas de serie.
Tienes correo profesional con tu propio dominio, alojado en Europa y conforme al RGPD, con verificación en dos pasos opcional. Las firmas entre bastidores corren de nuestra cuenta.
FAQ
Preguntas frecuentes
¿Qué diferencia hay entre SPF y DKIM?
SPF comprueba qué servidores pueden enviar en nombre de tu dominio; DKIM demuestra con una firma digital que un mensaje procede de verdad de ti y que no se ha modificado por el camino. Se complementan: SPF mira el remitente, DKIM el contenido. Para una protección completa usas ambos, junto con DMARC.
¿Qué es un selector DKIM?
Un selector es una etiqueta que indica qué clave pública corresponde a una firma, por ejemplo selector1. Así puedes usar varias claves a la vez y rotarlas con seguridad. El selector de tu firma saliente debe coincidir exactamente con el registro DNS correspondiente; si no, la comprobación falla.
¿Tengo que sustituir mi clave DKIM?
Es sensato rotar tu clave de vez en cuando, y sin duda si sospechas que la clave secreta se ha filtrado. Hoy se recomienda una clave robusta (2048 bits). En un servicio de correo gestionado, esa rotación suele hacerse automáticamente, sin que tengas que hacer nada.