¿Cómo configuro DKIM para un dominio de correo personalizado?

¿Cómo funciona DKIM?

DKIM permite que el servidor emisor firme cada mensaje con una clave privada, y que cualquier receptor compruebe la firma con una clave pública publicada en el DNS. La firma está en una cabecera DKIM-Signature. Contiene el dominio firmante (d=), el selector (s=), las cabeceras firmadas (h=), un hash del cuerpo (bh=) y la propia firma (b=). La RFC 6376, un Internet Standard, define estas etiquetas.

El receptor construye el nombre DNS a partir del selector y del dominio: selector._domainkey.dominio. Para el selector fm1 y el dominio example.com, pide fm1._domainkey.example.com. La respuesta es un registro con las etiquetas v=DKIM1, k=rsa y p= seguido de la clave pública en base64. Un p= vacío significa que la clave está revocada.

Una firma válida demuestra dos cosas: el mensaje fue firmado por un sistema que posee la clave privada de ese dominio, y las partes firmadas no cambiaron en tránsito. No dice que el mensaje sea deseado. Ese juicio corresponde a DMARC, tratado en SPF, DKIM y DMARC: diferencias.

¿Por qué los proveedores piden registros CNAME en lugar de una clave?

Un CNAME entrega la clave al proveedor: la clave pública permanece en la dirección del proveedor y este puede sustituirla sin pedirle que edite el DNS. Proton Mail, Fastmail y Mailbox.org usan este patrón. Sus registros son CNAME desde el nombre de su selector a un host que controlan, el cual contiene el registro real de la clave.

La ventaja es la rotación de claves. La RFC 6376 aconseja publicar claves nuevas bajo selectores nuevos en lugar de reutilizar un selector, y Proton Mail publica tres selectores (protonmail, protonmail2, protonmail3), lo que da al proveedor margen para pasar de una clave a la siguiente. El coste para usted es la confianza: depende de que el host del proveedor siga respondiendo.

Según la comparativa de Postelva del 12 de noviembre de 2026, los tres proveedores cuyos registros DKIM se leyeron en sus páginas de ayuda necesitan 3, 4 y 3 registros CNAME, 10 en total, y ninguno pide una clave TXT.

¿Qué longitud debe tener la clave DKIM?

Use una clave RSA de 2048 bits; 1024 bits es el mínimo que permite la RFC 6376 para claves de larga duración. El estándar dice que los firmantes deben usar claves RSA de al menos 1024 bits, y que los verificadores deben poder comprobar claves de 512 a 2048 bits. Las pautas de Google para remitentes piden al menos 1024 bits y recomiendan 2048. Cuando el proveedor crea la clave, como en la configuración CNAME anterior, la longitud es decisión suya y a usted no le queda nada por configurar.

Cuando deba elegir usted el tamaño, elija 2048. Una clave de 2048 bits es más larga que una cadena de 255 caracteres en el DNS, así que el valor TXT se divide en varias cadenas, algo que la mayoría de los editores DNS hacen por sí solos. El mismo límite del editor se aplica al registro SPF descrito en cómo crear un registro SPF.

¿Puedo usar varios proveedores en un dominio?

Sí: cada proveedor firma con su propio selector, así que sus registros DKIM no chocan. El selector es la razón. Proton usa protonmail, protonmail2 y protonmail3; Fastmail usa fm1, fm2 y fm3; Mailbox.org usa MBO0001 a MBO0004. Una herramienta de boletines que envía en su nombre añade un selector propio.

SPF es distinto: tiene un único registro para todos los remitentes, con un límite de 10 consultas. Cuando abandone un proveedor definitivamente, elimine sus registros DKIM después de confirmar que el nuevo firma, para que nadie que obtenga acceso a la cuenta antigua pueda usar una clave abandonada. Para el orden completo de una migración, vea cómo mover el correo a un nuevo proveedor sin perder mensajes.

¿Cómo compruebo que DKIM funciona?

Consulte el selector con dig y luego envíe un mensaje real. El comando dig CNAME fm1._domainkey.example.com +short debería imprimir el destino del proveedor. Para una clave TXT, pida TXT en su lugar. La prueba decisiva es un mensaje: las cabeceras de la copia recibida muestran si el servidor receptor registró dkim=pass.

Si el registro es correcto y la comprobación sigue fallando, las causas habituales son un nombre de host incorrecto (el dominio añadido dos veces por el editor DNS), una caché obsoleta o un mensaje enviado antes de que el proveedor activara la firma. La siguiente guía, cómo comprobar los registros MX, SPF, DKIM y DMARC, enumera los comandos. Los pasos de Fastmail completos están en la guía de dominio personalizado de Fastmail.