Comprobador y validador de registros DKIM

Comprueba justo después de añadir o cambiar el registro DNS de un proveedor de correo. Google Workspace suele usar el selector google, Microsoft 365 usa selector1 y selector2, Amazon SES emite tres selectores CNAME aleatorios, Mailchimp usa k1 (y k2/k3) y SendGrid suele usar s1 y s2.

Revisa DKIM cuando los mensajes acaban en spam o los informes DMARC muestran dkim=fail. Un registro ausente o mal formado es una de las causas más comunes.

Verifica ambos selectores durante una rotación de claves: los proveedores publican la clave nueva en un segundo selector antes de retirar la antigua, y ambos deben resolver mientras las firmas antiguas siguen en tránsito.

Si no se encuentra ningún registro, confirma la ortografía exacta del selector y que el TXT (o CNAME) está en selector._domainkey.tudominio.com — un error muy habitual es publicarlo en el apex o duplicar el dominio en el campo host.

Si el registro existe pero es inválido, mira las etiquetas analizadas: un v=DKIM1 ausente, un valor p= truncado (los paneles DNS suelen partir las claves largas en varias cadenas entre comillas) o espacios sobrantes rompen la verificación.

Una etiqueta p= vacía significa que la clave fue revocada a propósito. El flag t=y indica modo de prueba: los receptores verifican la firma pero no la aplican estrictamente; elimínalo cuando confirmes el despliegue.

DKIM permite al servidor emisor firmar cada mensaje con una clave privada; los receptores obtienen la clave pública desde DNS usando el selector indicado en la cabecera DKIM-Signature (etiqueta s=). Los selectores permiten que un dominio publique varias claves a la vez.

La longitud importa: las claves RSA de 1024 bits aún se aceptan pero se consideran débiles, y la mayoría de proveedores emite ya claves de 2048 bits. Algunos paneles DNS necesitan dividir la cadena Base64 larga en dos fragmentos entre comillas.

Rota las claves publicando la nueva bajo un selector nuevo, cambiando la firma a esa clave y solo después retirando o revocando el registro antiguo. Comprobar cada selector por separado confirma cada paso.

Puedes consultar el registro con dig TXT selector._domainkey.example.com, pero tendrás que analizar las etiquetas y decodificar la longitud de la clave a mano. El validador lo hace automáticamente y explica cada hallazgo.

Leer las cabeceras Authentication-Results de un mensaje recibido indica si ese mensaje concreto pasó. El validador responde la pregunta previa: ¿el registro publicado existe y es válido?

Las suites de entregabilidad completas prueban buzones semilla y reputación. Esta herramienta cubre la base DNS de la que depende todo lo demás — rápida, gratuita y automatizable vía API.