[Respuesta rápida]
Para configurar DKIM , genere una clave en cada plataforma de envío (o con un generador DKIM ), publique la clave pública como un registro TXT o CNAME en selector._domainkey.yourdomain.com , habilite el inicio de sesión en la plataforma y confirme los pases de firma con una búsqueda DKIM o un análisis de encabezado.
Hechos clave
- ›Selector predeterminado Google Workspace : google.
- ›Microsoft 365 usa registros CNAME selector1 y selector2.
- ›Utilice claves RSA de 2048 bits cuando su host DNS permita valores TXT largos.
Revisado por el equipo de investigación EmailAuth
La configuración DKIM requiere cinco pasos: generar un par de claves, publicar la clave pública en DNS en un selector, habilitar la firma en su plataforma de envío, verificar que las firmas pasen y se alineen con su dominio De, luego rote las claves según un cronograma. La mayoría de las plataformas de correo electrónico generan las claves por usted y le brindan un registro para pegar en DNS , por lo que el trabajo consiste principalmente en copiar y verificar cuidadosamente. Una vez que DKIM está activo, se integra en la alineación DMARC junto con SPF .
Antes de empezar
Enumere todos los servicios que envían correo utilizando su dominio: su proveedor de buzón de correo, herramienta de marketing, servicio de asistencia técnica, sistema de facturación y cualquier otro. Cada uno necesita su propia clave y selector DKIM . La falta de un servicio significa que su correo puede fallar en DKIM y, una vez que aplique DMARC , terminar en spam o rebotar. Un análisis de dominio le ayuda a encontrar remitentes que olvidó.
- 1
1. Genere un par de claves
Cree una clave pública y privada, idealmente RSA de 2048 bits. La mayoría de las plataformas hacen esto por usted en su configuración DKIM y mantienen la clave privada de su lado. Si usted mismo aloja, genere el par con las herramientas de su servidor de correo y almacene la clave privada de forma segura.
- 2
2. Publicar la clave pública en DNS
Agrega un registro TXT en selector._domainkey.yourdomain.com , usando el selector que te proporciona tu plataforma. El valor parece v=DKIM1; k=rsa; p=YOUR_PUBLIC_KEY. Si la clave es larga, divídala en cadenas entre comillas para que DNS acepte el valor completo.
- 3
3. Habilitar la firma
Active la firma DKIM en su plataforma de envío para que cada mensaje saliente reciba un encabezado DKIM-Signature . Confirma las señales de la plataforma con el selector y dominio que publicaste.
- 4
4. Verificar firmas y alineación.
Envíe un mensaje de prueba a un buzón que usted controle y verifique los encabezados para obtener un pase DKIM . Confirme que el dominio d= coincida con su dominio De para que DKIM esté alineado con DMARC . Un escaneo de verificación o dominio confirma la fuerza y la alineación de una sola mirada.
- 5
5. Rotar las claves según un horario
Planifique reemplazar las llaves cada seis a doce meses. Publique un nuevo selector, cambie la firma, verifique que pase y luego elimine el registro anterior una vez que ningún correo lo use.
Ejemplo de registro
s1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ..." dividido entre cadenas entre comillas si su DNS limita la longitud del registro.
Errores de configuración comunes
- Pegar la clave con saltos de línea o espacios que corrompen el valor.
- Publicar con el nombre del selector incorrecto, por lo que parece que falta el registro.
- Usar una clave de 1024 bits cuando hay 2048 bits disponibles.
- Olvidar un servicio de envío, por lo que su correo queda sin firmar.
- Habilitar la firma pero nunca verificar que el dominio esté alineado con From para DMARC .
Verificar y luego hacer cumplir
Después de que DKIM pase y se alinee, mueva DMARC hacia la aplicación de la ley. Comience en p=none para ver los informes, confirme que todos sus remitentes se autentiquen, luego avance a p=quarantine y p=reject. Google y Yahoo exigen que los remitentes masivos se autentiquen desde 2024, por lo que una configuración DKIM verificada es parte del proceso de llegar a la bandeja de entrada. EmailAuth monitorea sus selectores después de la configuración, señala claves débiles o obsoletas y confirma que DKIM permanece alineado a medida que agrega nuevos remitentes.
Preguntas frecuentes
¿Cuánto tiempo tarda DKIM en funcionar después de publicar el registro?
El registro DNS debe propagarse, lo que suele tardar unos minutos, pero puede tardar hasta un día dependiendo de su proveedor y TTL. Una vez que la clave pública sea visible en DNS y la firma esté habilitada, los destinatarios pueden verificar su correo. Envíe un mensaje de prueba y verifique los encabezados para confirmar que se aprobó.
¿Puedo usar una clave DKIM para todas mis herramientas de envío?
Es más limpio darle a cada servicio su propio selector y clave, porque la clave privada permanece en esa plataforma. Compartir una clave entre herramientas no es práctico ya que cada plataforma tiene su propia clave privada. El uso de un selector por servicio también facilita la rotación y la resolución de problemas.
¿Qué longitud de clave debo utilizar para DKIM ?
Utilice RSA de 2048 bits cuando su proveedor DNS y su plataforma lo admitan. Es más potente que el antiguo estándar de 1024 bits, que ahora algunos receptores desaconsejan. Si una clave larga no cabe en una cadena TXT , divídala en varias cadenas entrecomilladas.
¿Aún necesito SPF y DMARC si DKIM está configurado?
Sí. DKIM demuestra que el mensaje fue firmado y no fue alterado, pero DMARC vincula la autenticación a su dominio De visible y les dice a los receptores qué hacer en caso de fallas. SPF ofrece una segunda ruta de alineación. Los tres juntos son lo que Google y Yahoo esperan de los remitentes masivos.
¿Cómo configuro DKIM ?
Active DKIM en su plataforma de correo electrónico, copie el registro DNS que muestra, publíquelo, espere a que se propague DNS y haga clic en verificar o comenzar a firmar.
¿Cuánto tiempo tarda DKIM en funcionar?
Por lo general, de unos minutos a unas pocas horas, según la propagación DNS y el TTL de su proveedor.
[ DKIM guía ]
Procedencia de la empresa
Por qué las principales instituciones financieras y gobiernos retiraron sus paneles de seguridad de correo electrónico.
Las plataformas tradicionales de autenticación de correo electrónico le venden un panel y piden a sus ingenieros que hagan el trabajo. En entornos de alto riesgo, la supervisión manual significa retrasos en la aplicación, cambios en la configuración y dominios en la sombra no monitoreados.
EmailAuth es la plataforma de procedencia de correo electrónico agente. Nuestros agentes hacen cumplir p=reject, mantenga alineados a los remitentes externos y mueva sus dominios al máximo RFC 9989 cumplimiento, el nuevo estándar DMARC , con auditabilidad humana.
SaaS · Arrendamiento dedicado · Air-gapped on-premise · Cifrado BYOK