Comprobador de registros DKIM
Introduce un dominio y su selector DKIM para obtener la clave pública desde el DNS, o deja el selector vacío para probar más de 45 selectores comunes. La herramienta decodifica la clave para mostrar su tipo y su longitud real en bits, explica cada etiqueta y marca los registros débiles, revocados o dañados.
Última actualización:
O comprueba un registro DKIM que pegues (sin consulta)
Introduce un dominio y un selector y haz clic en Comprobar registro DKIM para ver la clave pública, su tipo y longitud en bits, y cada etiqueta explicada.
Cómo usar Comprobador de registros DKIM
- Introduce el dominio de la dirección From del correo, por ejemplo example.com.
- Introduce el selector (el valor s= de una cabecera DKIM-Signature), o déjalo vacío para probar selectores comunes.
- Haz clic en Comprobar registro DKIM.
- Lee el resumen de la clave: tipo de clave, longitud en bits, indicador de prueba y longitud del registro.
- Revisa las notas y la tabla de etiquetas, corrige cualquier problema en tu proveedor de DNS o pega un borrador de registro para comprobarlo antes de publicarlo.
Etiquetas del registro DKIM de un vistazo
| Etiqueta | Obligatoria | Valores | Qué hace |
|---|---|---|---|
v | Recomendada | DKIM1 | Versión; si aparece, debe ser la primera etiqueta |
k | No | rsa (predeterminado), ed25519 | Algoritmo de la clave |
p | Sí | clave en base64, o vacío | La clave pública; vacía significa revocada |
h | No | sha256 | Algoritmos hash permitidos para las firmas |
t | No | y, s | Modo de prueba, o coincidencia estricta de dominio |
s | No | *, email | Servicio para el que se puede usar la clave |
n | No | texto | Notas para personas |
Selectores usados por servicios de correo comunes
| Servicio | Selector(es) | Cómo se publica la clave |
|---|---|---|
| Google Workspace | google (predeterminado, se puede cambiar) | Registro TXT que copias desde la consola de administración |
| Microsoft 365 | selector1, selector2 | CNAME a claves alojadas en tu inquilino onmicrosoft.com, rotadas por Microsoft |
| SendGrid | s1, s2 | CNAME a claves alojadas en SendGrid |
| Mailchimp | k2, k3 | CNAME a dkim.mcsv.net |
| Fastmail | fm1, fm2, fm3 | CNAME a Fastmail |
| Proton Mail | protonmail, protonmail2, protonmail3 | CNAME a Proton |
| Amazon SES | tres tokens aleatorios | CNAME que se muestran en la consola de SES (no se pueden adivinar) |
Consejos para una configuración DKIM sana
- Usa claves RSA de 2048 bits y rótalas una o dos veces al año publicando un selector nuevo, cambiando la firma a él y revocando el antiguo.
- Quita t=y cuando tus firmas se verifiquen; el modo de prueba puede hacer que los receptores ignoren los fallos.
- Comprueba la alineación. Para que DMARC pase con DKIM, el dominio d= de la firma debe coincidir con el dominio From. Revisa tu política con el Comprobador de DMARC y tus servidores de envío con el Comprobador de registros SPF.
- ¿Necesitas una clave nueva? El Generador de registros DKIM crea un par de claves y el registro DNS correspondiente en tu navegador.
Preguntas frecuentes
¿Qué es un registro DKIM?
DKIM (DomainKeys Identified Mail, RFC 6376) permite a un dominio firmar su correo saliente con una clave privada. La clave pública correspondiente se publica como registro TXT en selector._domainkey.tudominio. Los servidores receptores obtienen esa clave, verifican la firma y saben que el mensaje procede realmente del dominio y que no fue alterado.
¿Cómo encuentro mi selector DKIM?
Abre un correo enviado desde el dominio y consulta su código original o sus cabeceras. En la cabecera DKIM-Signature, la etiqueta s= es el selector y d= es el dominio firmante. La consola de administración de tu proveedor de correo también lo muestra, por ejemplo google en Google Workspace o selector1 y selector2 en Microsoft 365.
¿Por qué el comprobador no encuentra mi registro DKIM sin selector?
El DNS no permite listar todos los selectores de un dominio, así que un comprobador solo puede adivinar. Esta herramienta prueba más de 45 nombres comunes, pero proveedores como Amazon SES, Postmark o muchas plataformas de marketing usan selectores aleatorios o con fecha. Introduce el selector exacto de una cabecera de mensaje para comprobarlos.
¿Sigue siendo segura una clave DKIM de 1024 bits?
Sigue verificándose, pero se considera débil. RFC 8301 exige a los verificadores aceptar claves a partir de 1024 bits y recomienda a los firmantes usar claves RSA de al menos 2048 bits. Gmail y otros grandes receptores recomiendan 2048 bits. Las claves de menos de 1024 bits deben rechazarse.
¿Qué significa un p= vacío?
Un valor de clave pública vacío significa que la clave ha sido revocada. Las firmas hechas con ese selector fallarán. Los dominios lo hacen a propósito cuando retiran un selector tras rotar la clave, para que ya no se pueda confiar en las firmas antiguas.
¿Por qué mi clave de 2048 bits está dividida en varias cadenas?
Una sola cadena dentro de un registro TXT del DNS puede contener como máximo 255 caracteres, y un registro con clave de 2048 bits tiene unos 410 caracteres. Por eso se guarda como dos o más cadenas entre comillas que los verificadores unen. La mayoría de los paneles de DNS la dividen automáticamente; el comprobador une las partes antes de analizarlas.
¿Esta comprobación es privada?
La consulta va directamente de tu navegador al resolvedor público de DNS sobre HTTPS de Cloudflare o de Google, y los registros pegados se analizan íntegramente en tu navegador. FreeToolCabin no recibe ni guarda nada.
¿Se prueban todas las herramientas de FreeToolCabin para comprobar su calidad y precisión?
Sí. Cada herramienta del sitio pasa pruebas automáticas en navegadores reales para comprobar que el resultado es correcto y que no hay errores. Si encuentras un fallo o tienes una sugerencia, escríbenos a [email protected] y lo revisaremos.