Generador de registros DKIM
Genera un nuevo par de claves RSA para firmar correos con DKIM, todo en tu navegador. Obtienes el registro TXT que debes publicar en selector._domainkey, una versión para archivo de zona dividida en cadenas de 255 caracteres y la clave privada como archivo PEM para tu servidor de correo.
Última actualización:
1. Registro TXT de DNS
- Tipo
- TXT
- Host / Nombre
- Valor
- TTL
- 3600 (o el valor predeterminado de tu proveedor)
Formato de archivo de zona (dividido en cadenas de 255 caracteres)
2. Clave privada (mantenla en secreto)
Instálala en tu servidor de correo o servicio de firma. Cualquiera que tenga esta clave puede firmar correos en nombre de tu dominio.
3. Clave pública
Líneas de configuración de OpenDKIM
Cómo usar Generador de registros DKIM
- Introduce tu dominio y un selector (o deja el predeterminado basado en la fecha).
- Elige el tamaño de la clave: 2048 bits, salvo que tu proveedor de DNS no pueda guardar registros TXT largos.
- Haz clic en Generar claves DKIM y descarga la clave privada enseguida.
- Publica el registro TXT en tu proveedor de DNS con el nombre de host y el valor que se muestran.
- Configura tu servidor de correo para firmar con la clave privada y el selector; luego envía un correo de prueba y verifícalo con el Verificador de registros DKIM.
Configurar DKIM paso a paso
- Genera el par de claves arriba y guarda el archivo de la clave privada en un lugar que solo pueda leer el servidor de correo (por ejemplo, permisos 600 y propiedad del usuario opendkim).
- Publica la clave pública como registro TXT en
selector._domainkey.tudominio. Espera a que pase el TTL y compruébalo con el Verificador de registros DKIM. - Configura la firma en tu servidor con el mismo dominio y selector (arriba se muestran las líneas KeyTable y SigningTable de OpenDKIM).
- Envía un mensaje de prueba a un buzón que controles y abre sus encabezados: busca
dkim=passen el encabezado Authentication-Results. - Añade SPF y DMARC para que los destinatarios puedan aplicar tu política, con el Generador de registros SPF y el Generador de registros DMARC.
Tamaño de la clave y longitud del registro
| Clave | Clave pública en Base64 | Valor TXT (aprox.) | Estado |
|---|---|---|---|
| RSA de 1024 bits | 216 caracteres | unos 235 caracteres, cabe en una cadena | Mínimo permitido, se considera débil |
| RSA de 2048 bits | 392 caracteres | unos 410 caracteres, dos cadenas | Recomendado (RFC 8301) |
| RSA de 4096 bits | 736 caracteres | unos 755 caracteres, tres cadenas | Los verificadores no están obligados a admitirlo |
El selector es solo una etiqueta. Algo como s202610 (año y mes) te indica de un vistazo la antigüedad de una clave y te permite publicar la siguiente con un nombre nuevo sin tocar la actual.
Preguntas frecuentes
¿Qué crea un generador de registros DKIM?
Dos cosas: una clave privada que tu servidor de correo usa para firmar los mensajes salientes y un registro TXT de DNS con la clave pública correspondiente. Los destinatarios consultan el registro TXT en selector._domainkey.tudominio para verificar las firmas. Ambas mitades deben proceder del mismo par de claves.
¿Las claves se generan de forma segura?
Sí. El par de claves lo crea la Web Crypto API integrada en tu navegador, que usa el generador de números aleatorios criptográficamente seguro del sistema operativo. Las claves nunca salen de la página, no se guardan en ningún sitio y desaparecen al cerrar la pestaña, así que descarga la clave privada antes de salir.
¿Debo usar una clave de 1024 o de 2048 bits?
Usa 2048 bits. El RFC 8301 recomienda claves RSA de al menos 2048 bits para los firmantes, y los grandes proveedores de correo aconsejan lo mismo. Elige 1024 bits solo si tu proveedor de DNS no puede publicar registros TXT de más de 255 caracteres, y planea pasar a 2048 más adelante.
¿Qué nombre de host introduzco en mi proveedor de DNS?
Introduce selector._domainkey como host o nombre, por ejemplo s202610._domainkey. Muchos paneles añaden tu dominio automáticamente; si el tuyo pide el nombre completo, usa s202610._domainkey.example.com. El tipo de registro es TXT y el valor es la cadena v=DKIM1.
¿Por qué el registro se divide en varias cadenas?
Una sola cadena de caracteres en un registro TXT de DNS está limitada a 255 caracteres, y un valor DKIM de 2048 bits tiene unos 410 caracteres. En los archivos de zona se escribe como varias cadenas entre comillas dentro de paréntesis, que los verificadores vuelven a unir. La mayoría de los paneles web aceptan el valor completo y lo dividen por ti.
¿Lo necesito si uso Google Workspace o Microsoft 365?
Normalmente no. Los servicios de correo alojado generan sus propias claves DKIM: Google Workspace te da un valor TXT en la consola de administración y Microsoft 365 te pide publicar dos registros CNAME. Este generador es para servidores de correo propios (Postfix con OpenDKIM, Exim, Haraka y otros) y para servicios que te permiten usar tu propia clave.
¿Cada cuánto debo rotar las claves DKIM?
Una práctica habitual es cada 6 a 12 meses. Publica un nuevo selector con una nueva clave, cambia tu servidor para que firme con ella, espera unos días y luego sustituye el valor p= del registro antiguo por uno vacío para revocarlo. Los selectores basados en la fecha facilitan el seguimiento.
¿Se prueban todas las herramientas de FreeToolCabin para comprobar su calidad y precisión?
Sí. Cada herramienta del sitio pasa pruebas automáticas en navegadores reales para comprobar que el resultado es correcto y que no hay errores. Si encuentras un fallo o tienes una sugerencia, escríbenos a [email protected] y lo revisaremos.