[Respuesta rápida]
DKIM (DomainKeys Identified Mail) agrega una firma criptográfica a cada correo electrónico. El servidor emisor firma con una clave privada y los receptores la verifican utilizando una clave pública publicada en DNS en selector._domainkey.yourdomain.com . Demuestra que el mensaje vino de su dominio y no fue modificado ( RFC 6376 ).
Hechos clave
- ›Clave pública publicada como registro TXT (o CNAME ) en <selector>. _domainkey .<dominio>.
- ›Utilice claves RSA de al menos 2048 bits; Las claves de 1024 bits se consideran débiles.
- ›Un dominio puede tener muchos selectores, uno por servicio de envío.
- ›El dominio d= en la firma debe alinearse con From para DMARC .
- ›Rote las claves periódicamente publicando un nuevo selector.
Revisado por el equipo de investigación EmailAuth
DKIM (DomainKeys Identified Mail) es un estándar de autenticación de correo electrónico que adjunta una firma criptográfica a cada mensaje que envía un dominio. El servidor receptor utiliza una clave pública publicada en su DNS para verificar esa firma. Si se verifica, el receptor sabe que el mensaje fue autorizado por su dominio y que partes clave del mismo no fueron alteradas en el camino. DKIM trabaja con SPF y DMARC para demostrar que su correo es genuino y mantener los mensajes falsos fuera de las bandejas de entrada.
Cómo funciona DKIM
DKIM utiliza un par de claves públicas y privadas. Su servidor de envío posee la clave privada y firma cada mensaje saliente con ella. La clave pública coincidente se encuentra en un registro DNS TXT en una ubicación creada a partir de su selector, como selector1._domainkey.example.com . Cuando un receptor recibe su mensaje, lee el selector y el dominio del encabezado DKIM-Signature , recupera la clave pública de DNS y confirma la firma. Una firma válida significa que el correo fue firmado por una parte que posee su clave privada y que el contenido firmado no se modificó durante el tránsito.
- Clave privada: almacenada en su plataforma de envío y nunca compartida; produce la firma.
- Clave pública: publicada en DNS en el selector para que cualquier receptor pueda verificarla.
- Selector: etiqueta que permite ejecutar varias claves a la vez, por ejemplo una por servicio de envío.
- Firma: el encabezado DKIM-Signature agregado al cuerpo del mensaje y a los encabezados seleccionados.
Qué cubre la firma
DKIM firma un hash del cuerpo del mensaje más un conjunto elegido de encabezados, comúnmente De, Asunto, Fecha y Para. Si algún campo firmado cambia después del envío, el hash ya no coincide y la verificación falla. Por eso DKIM detecta manipulaciones. No cifra el mensaje; prueba origen e integridad, no confidencialidad.
Alineación DKIM y DMARC
Una firma DKIM aprobada es sólo la mitad de la historia para DMARC . DMARC también verifica la alineación, lo que significa que el dominio en la firma DKIM (la etiqueta d=) debe coincidir con el dominio en la dirección De remitente visible. Cuando el dominio de firma y el dominio De se alinean, DKIM está alineado y puede satisfacer DMARC . SPF ofrece una segunda vía de alineación, por lo que la mayoría de los remitentes configuran ambas. Alinear al menos uno es lo que le permite pasar DMARC del monitoreo a la aplicación.
Cómo se ve un registro DKIM
selector1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ..." donde v es la versión, k es el tipo de clave y p es la clave pública.
Por qué DKIM es importante ahora
En 2024, Google y Yahoo comenzaron a exigir que los remitentes masivos se autentiquen con SPF , DKIM y DMARC . El correo que no pase estas comprobaciones puede ser limitado o rechazado. DKIM también sobrevive mejor al reenvío que SPF , porque un mensaje reenviado mantiene su firma incluso cuando cambia la IP de envío, siempre y cuando el contenido firmado permanezca intacto. DKIM sólido es ahora una base para llegar a la bandeja de entrada a escala.
Mantener DKIM saludable
Utilice claves RSA de 2048 bits cuando su DNS y su plataforma lo permitan, ya que las claves de 1024 bits son más débiles y algunos receptores las tratan con sospecha. Rote las claves según un cronograma y retire los selectores que ya no utilice. EmailAuth monitorea sus selectores activos, señala claves débiles o obsoletas y muestra si DKIM está alineado con DMARC . Un escaneo de dominio gratuito informa sus selectores activos, la intensidad de las claves y la alineación en una sola pasada para que pueda corregir las brechas antes de que lo hagan los receptores.
Preguntas frecuentes
¿ DKIM cifra mi correo electrónico?
No. DKIM agrega una firma criptográfica que demuestra que el mensaje proviene de su dominio y no fue modificado durante el tránsito. Protege el origen y la integridad, no la confidencialidad. El cuerpo del mensaje en sí sigue siendo legible para cualquiera que lo intercepte, a menos que utilice un cifrado de transporte independiente.
¿Qué es un selector DKIM ?
Un selector es una etiqueta que apunta a una clave pública específica en su DNS . Te permite publicar varias claves DKIM a la vez, por ejemplo una diferente para cada servicio de envío. El receptor lee el selector del encabezado DKIM-Signature y lo usa para encontrar la clave pública correcta en selector._domainkey.yourdomain.com .
¿Necesito DKIM si ya tengo SPF ?
Sí. SPF y DKIM verifican cosas diferentes, y DMARC puede alinearse con cualquiera de ellas. DKIM sobrevive mejor al reenvío que SPF , por lo que tener ambos le brinda un camino más sólido hacia la alineación DMARC . Google y Yahoo ahora esperan que los remitentes masivos utilicen SPF , DKIM y DMARC juntos.
¿Con qué frecuencia debo rotar las claves DKIM ?
Una práctica común es rotar las llaves cada seis a doce meses, y antes si sospecha que una llave estuvo expuesta. La rotación limita el daño causado por una clave privada filtrada. EmailAuth marca las claves obsoletas para que sepa cuándo un selector está atrasado para actualizarse.
¿Qué es DKIM en el correo electrónico?
Es una firma digital agregada a los encabezados de los mensajes que permite a los receptores verificar el dominio de envío y que el contenido no haya cambiado durante el tránsito.
¿Cómo funciona DKIM ?
El remitente aplica un hash a los encabezados y el cuerpo seleccionados, firma el hash con una clave privada y agrega un encabezado DKIM-Signature . El receptor obtiene la clave pública del DNS mediante el selector y verifica la firma.
¿Puedes tener varios registros DKIM ?
Sí, uno por selector. Cada servicio de envío suele tener su propio selector y clave.
¿Cómo configuro DKIM ?
Habilite DKIM en cada servicio de envío, publique el registro TXT o CNAME que le proporciona y luego verifique con una búsqueda DKIM .
[ DKIM guía ]
Procedencia de la empresa
Por qué las principales instituciones financieras y gobiernos retiraron sus paneles de seguridad de correo electrónico.
Las plataformas tradicionales de autenticación de correo electrónico le venden un panel y piden a sus ingenieros que hagan el trabajo. En entornos de alto riesgo, la supervisión manual significa retrasos en la aplicación, cambios en la configuración y dominios en la sombra no monitoreados.
EmailAuth es la plataforma de procedencia de correo electrónico agente. Nuestros agentes hacen cumplir p=reject, mantenga alineados a los remitentes externos y mueva sus dominios al máximo RFC 9989 cumplimiento, el nuevo estándar DMARC , con auditabilidad humana.
SaaS · Arrendamiento dedicado · Air-gapped on-premise · Cifrado BYOK