Guía: autenticación

Cómo configurar DKIM

DKIM firma cada mensaje con una clave privada y publica la clave pública correspondiente en su DNS, para que el receptor compruebe qué dominio asumió la responsabilidad del mensaje y que las partes firmadas no se modificaron por el camino.

Última revisión: 4 de noviembre de 2026

Qué demuestra una firma DKIM

DomainKeys Identified Mail (DKIM, RFC 6376) añade a cada mensaje una cabecera DKIM-Signature. Esta indica un dominio firmante (d=) y un selector (s=), enumera las cabeceras firmadas y contiene un hash del cuerpo y una firma sobre ambos.

El receptor obtiene la clave pública del DNS, verifica la firma y vuelve a calcular el hash del cuerpo. Un resultado pass muestra que el dominio firmante asumió la responsabilidad del mensaje y que las partes firmadas no cambiaron después de firmarse.

Dónde se publica la clave

La clave pública es un registro TXT en selector._domainkey.yourdomain. El selector permite que un dominio tenga varias claves a la vez, por ejemplo una por servicio de envío, o una antigua y una nueva durante un cambio.

Su servicio de envío genera el par de claves, guarda la clave privada y le entrega el registro que debe publicar. Copie el valor exactamente: un carácter que falte en el valor p= hace fallar todas las firmas.

Las claves largas superan los 255 caracteres, el límite de una cadena TXT. La mayoría de los proveedores DNS las dividen por usted; si el suyo no lo hace, introduzca el valor como varias cadenas entre comillas, que los receptores unen.
Publique el registro como un TXT normal, sin proxy ni reescrituras de un servicio DNS.

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...

Longitud de clave y algoritmo

RFC 8301 establece que los firmantes deben usar claves RSA de al menos 1024 bits y deberían usar al menos 2048 bits, y que no deben firmar con rsa-sha1. Una clave RSA de 2048 bits con rsa-sha256 es hoy la opción habitual y la aceptan todos los grandes proveedores de buzón.

Qué rompe una firma

Cualquier cosa que cambie las cabeceras firmadas o el cuerpo después de firmar: una lista de correo que añade un pie o edita el asunto, una pasarela de seguridad que reescribe enlaces o un servidor que vuelve a codificar el mensaje. La canonicalización relaxed (c=relaxed/relaxed) tolera cambios de espacios y de mayúsculas en los nombres de las cabeceras, no en el contenido.

Un reenvío simple suele mantener la firma intacta, y por eso DKIM es la mitad más robusta de DMARC.

Compruebe el resultado

Envíe un mensaje a un buzón suyo y lea la cabecera Authentication-Results: lo que busca es dkim=pass con header.d= igual a su dominio. Si el dominio d= es el de su proveedor y no el suyo, el mensaje está firmado pero no quedará alineado para DMARC.

Cómo gestiona Mail.Land el DKIM

Cuando añade un dominio, Mail.Land genera para él un par de claves RSA de 2048 bits y le da un registro TXT para publicar en mlnd._domainkey.yourdomain (el selector es mlnd). Cada mensaje de ese dominio se firma con su propia clave y con su dominio como d=, de modo que DKIM queda alineado con su dirección From.

DKIM es obligatorio: SPF, DKIM y DMARC deben verificarse antes de que el dominio pueda enviar.

Configuración DNS en la documentación de Mail.Land