Generador DKIM
Crea un par de claves DKIM y el registro TXT exacto para publicar en tu DNS.
Cómo configurar DKIM con la clave generada
- Ingresa tu dominio y un selector, elige el tamaño de clave y haz clic en Generar claves DKIM.
- En tu proveedor DNS, crea un registro TXT. Usa el nombre mostrado arriba (selector._domainkey o nombre FQDN completo) y pega el valor TXT.
- Instala la clave privada en los ajustes de firma DKIM de tu servidor de correo, usando el mismo selector y dominio.
- Envía un mensaje de prueba a una cuenta personal de Gmail y abre "Mostrar original". Junto a DKIM debe indicar PASS.
Si no pasa, comprueba que el registro DNS se haya propagado y que el selector en el servidor coincida exactamente con el de DNS. Para entender cómo DKIM se complementa con SPF y DMARC, lee nuestra guía de SPF, DKIM y DMARC.
Cómo elegir selector y tamaño de clave
El selector es simplemente una etiqueta identificadora: elige una que reconozcas fácilmente más adelante. Un nombre con fecha como s2026a permite identificar de inmediato qué clave está activa al realizar rotaciones. Puede contener letras, dígitos y guiones.
Para el tamaño de la clave, 2048 bits es la opción recomendada y segura. Gmail requiere claves DKIM de al menos 1024 bits y recomienda 2048. El estándar RFC 8301 establece que los remitentes deben usar al menos 1024 bits y deberían usar 2048. Aunque el RFC exige a los receptores admitir claves de hasta 4096 bits, algunos paneles DNS presentan problemas con registros tan extensos; utiliza 2048 bits como estándar.
Qué contiene un registro DKIM
| Etiqueta | Significado | Ejemplo |
|---|---|---|
| v | Versión del protocolo. Opcional, pero si existe debe ser la primera etiqueta | v=DKIM1 |
| k | Tipo de clave criptográfica. rsa es el valor por defecto | k=rsa |
| p | Clave pública codificada en base64. Un valor vacío (p=) indica revocación | p=MIIBIjAN... |
| t | Indicadores (flags). y indica modo de prueba, s prohíbe subdominios | t=y |
Existen tres etiquetas adicionales (h para algoritmos hash, n para notas y s para tipo de servicio), pero rara vez se requieren.
Por qué se dividen los registros DKIM largos
Una clave pública de 2048 bits tiene aproximadamente 390 caracteres tras su codificación en base64. El protocolo DNS almacena cadenas TXT en bloques de hasta 255 caracteres (RFC 1035). Por ello, una clave de 2048 bits debe publicarse en dos o más fragmentos entrecomillados que el servidor receptor une antes de comprobar la firma. La mayoría de paneles DNS dividen la clave automáticamente al pegar la versión de una sola línea. El formato de zona BIND permite estructurar registros en múltiples líneas entre paréntesis.
Rotación periódica de claves DKIM
Para renovar claves sin interrumpir el flujo de correo, genera un nuevo par con un selector distinto y publica su registro DNS en paralelo con el anterior. Configura el servidor de correo para firmar con el nuevo selector y retira el registro antiguo solo cuando todos los correos enviados previamente hayan sido entregados.
Preguntas frecuentes
El par de claves se genera directamente mediante la Web Crypto API integrada en tu navegador. La clave privada nunca se transmite a nuestros servidores ni a terceros. Por tanto, no podemos recuperarla: descárgala antes de salir de la página.
Únicamente en tu servidor de correo, dentro de sus ajustes de firma DKIM. Jamás la publiques en el DNS ni la envíes por correo electrónico. Solo la clave pública, dentro del valor TXT, se hace pública.
Usa 2048 bits salvo que tu proveedor DNS no soporte registros extensos. Gmail acepta 1024 bits como mínimo pero recomienda 2048, y la RFC 8301 recomienda que los remitentes empleen al menos 2048 bits.
Cada cadena en un registro DNS TXT admite un máximo de 255 caracteres, y una clave de 2048 bits supera ese límite. Los servidores receptores unen automáticamente los fragmentos, por lo que la división no altera el registro.
Muchas plataformas admiten el formato estándar PKCS#8 (BEGIN PRIVATE KEY). Si tu software requiere BEGIN RSA PRIVATE KEY, descarga la versión PKCS#1; se trata de la misma clave en un formato tradicional.
Envía un correo desde tu servidor a una cuenta personal de Gmail, abre el mensaje y selecciona "Mostrar original". En la cabecera verás el resultado de DKIM: debe indicar PASS para tu dominio.
No. Tanto Google Workspace como Microsoft 365 generan sus propias claves DKIM en sus respectivas consolas de administración. Esta herramienta está pensada para servidores propios o MTAs donde gestionas directamente las claves.
¿DKIM configurado? Verifica ahora tu lista de correo.
1.000 créditos gratis, sin tarjeta.