Generador y comprobador de registros DKIM
Crea un par de claves DKIM en tu navegador y obtén el registro DNS que debes publicar. Después comprueba cualquier selector de cualquier dominio. Es gratis y no necesitas registrarte; la clave privada nunca sale de esta página.
El generador necesita JavaScript.
Comprueba un registro DKIM
Cada email firmado lleva el selector y el dominio en el encabezado DKIM-Signature (… s=selector; d=dominio).
Pruébalo: salesforce.com · 200608, microsoft.com · selector2
¿Qué es un registro DKIM?
DKIM firma cada email con una clave privada en el servidor de envío. La clave pública correspondiente se publica en el DNS como registro TXT en selector._domainkey.tudominio. Así, los servidores que reciben el mensaje pueden comprobar que no se ha modificado y que de verdad procede de tu dominio.
El selector permite que un dominio tenga varias claves: una por cada herramienta de envío y una nueva en cada rotación.
En el registro
- v=DKIM1: la versión; es opcional, pero si aparece va en primer lugar
- k=rsa o k=ed25519: el tipo de clave
- p=: la clave pública; si está vacía, la clave está revocada
- t=y: modo de prueba; quítalo cuando todo funcione
- La clave privada: nunca en el DNS
¿RSA 2048, 1024 o Ed25519?
Elige RSA 2048, salvo que tu panel de DNS no admita un registro largo.
| Clave | Seguridad | Longitud del registro | Quién la comprueba |
|---|---|---|---|
| RSA 2048 | Recomendada por Google; la opción predeterminada | Unos 400 caracteres: hay que dividirlo en dos cadenas de hasta 255 | Todos los servidores de correo |
| RSA 1024 | El mínimo que deben aceptar los servidores de correo | Cabe en una sola cadena | Todos los servidores de correo |
| Ed25519 | Corta y segura | 44 caracteres | Aún no la comprueban todos los servidores: firma también con RSA |
Configura DKIM en tu propio servidor
Para servidores que administras tú, como Postfix con OpenDKIM.
- 1
Genera el par de claves
Elige arriba el dominio, el selector y el tipo de clave. Las claves se crean en tu navegador.
- 2
Publica la clave pública
Añade el registro TXT. Si tu panel de DNS limita un valor a 255 caracteres, usa la versión dividida.
- 3
Instala la clave privada
Guarda el archivo PEM en el servidor de correo con permisos para que solo pueda leerlo el servicio de firma. Después configura ese servicio para que use el selector.
- 4
Comprueba y envía una prueba
Usa el comprobador, envía después un mensaje a Gmail y busca DKIM: PASS en “Mostrar original”.
Si envías desde una plataforma, usa su clave
Una clave que generas tú solo sirve si controlas el servidor que firma. Las plataformas de email firman con claves que generan ellas mismas.
- Account Engagement (Pardot). Pardot muestra la DomainKey en Domain Management; su selector es 200608.
- Marketing Cloud Next. Salesforce te da tres CNAME de DKIM (s1-e360-…) y gestiona las claves que hay detrás.
- Google Workspace y Microsoft 365. Genera la clave en la consola de administración (Google, selector “google”) o publica los dos CNAME que muestra Microsoft (selector1, selector2).
Más herramientas gratuitas
Preguntas frecuentes sobre el generador DKIM
Respuestas breves a lo que más se pregunta sobre claves y registros DKIM.
¿Cómo creo un registro DKIM?
Genera un par de claves, publica la clave pública como registro TXT en selector._domainkey.tudominio con el valor v=DKIM1; k=rsa; p=…, e instala la clave privada en el servidor que firma tu correo.
¿Es seguro generar una clave DKIM en línea?
Aquí la clave la genera la API criptográfica de tu navegador (WebCrypto) y nunca se envía a ninguna parte. Si necesitas el máximo control, genérala en el servidor de correo, por ejemplo con opendkim-genkey.
¿Qué es un selector DKIM?
Un nombre que eliges y que indica a los servidores que reciben el correo qué clave deben buscar. Aparece como s= en el encabezado DKIM-Signature y delante de ._domainkey en el DNS.
¿Debo usar 1024 o 2048 bits?
2048. Los servidores que reciben el correo deben aceptar 1024 bits (RFC 8301), y Google recomienda 2048. Usa 1024 solo si tu proveedor de DNS no puede guardar el registro más largo.
¿Cómo encuentro el selector DKIM de un dominio?
Abre un email de ese dominio, muestra sus encabezados y busca DKIM-Signature: el valor s= es el selector, y d=, el dominio. El DNS no ofrece ninguna lista con los selectores de un dominio.
¿Cada cuánto debo rotar las claves DKIM?
Rota las claves con una periodicidad que puedas mantener, y de inmediato si una clave privada puede haberse filtrado. Publica la nueva clave con un selector nuevo, pasa a firmar con ella y elimina la antigua cuando se haya entregado el correo que estaba en tránsito.
¿Se guarda algo de lo que introduzco?
No. Las claves se generan en tu navegador y nunca se envían. Para el comprobador, tu navegador envía el nombre DNS a nuestro servidor, que lo consulta en un servidor DNS público; no se guarda ni se registra nada.
Hacemos que tu marketing en Salesforce trabaje para ti
Habla con un consultor certificado, no con un vendedor, y sal de la primera llamada sabiendo cuál es tu siguiente paso.