La guía completa de 2026 para verificar tus correos electrónicos, evitar la manipulación y impedir la suplantación de dominios. DKIM es uno de los tres protocolos fundamentales de autenticación del correo electrónico, junto con SPF y DMARC. Utiliza firmas criptográficas para demostrar que un correo electrónico ha sido autorizado por tu dominio y que su contenido no ha sido modificado durante el tránsito. Esto ayuda a los servidores de correo receptores a distinguir los mensajes legítimos de los correos electrónicos falsificados o manipulados, lo que mejora tanto la seguridad como la capacidad de entrega del correo electrónico. En esta guía, aprenderás qué es DKIM, cómo funciona, cómo publicar y validar registros DKIM, cómo solucionar problemas comunes de autenticación, cómo rotar las claves de firma y cómo DKIM se integra con SPF y DMARC para proteger tu dominio. Generar claves, publicar registros, habilitar la firma Corregir selectores, firmas y alineación Hacer que DKIM cuente para DMARC Comprobar, generar y validar registros. DomainKeys Identified Mail (DKIM) es un protocolo de autenticación de correo electrónico que utiliza criptografía de clave pública para verificar que un correo electrónico procede realmente de tu dominio y que no ha sido modificado tras su envío. En lugar de basarse únicamente en la dirección IP del servidor remitente, DKIM adjunta una firma digital única a cada correo electrónico saliente. Cuando un servidor de correo receptor recibe tu mensaje, recupera tu clave pública del DNS y la utiliza para validar la firma. Si la firma coincide, el mensaje supera la autenticación DKIM. DKIM funciona mediante el uso de un par de claves criptográficas: una clave privada y una clave pública. La clave privada se almacena de forma segura en tu servidor de correo saliente o en el de tu proveedor de servicios de correo electrónico. Cada vez que se envía un correo electrónico, esta clave privada genera una firma digital única basada en partes específicas del mensaje, como el cuerpo y los encabezados seleccionados. A continuación, la firma se añade al correo electrónico como un encabezado «DKIM-Signature». Cuando el correo electrónico llega al destinatario, su servidor de correo extrae el dominio y el selector de la firma de la cabecera, recupera la clave pública correspondiente de tus registros DNS y verifica la firma. Si todo coincide, la verificación DKIM se supera. Si el correo electrónico se ha modificado tras la firma o no se puede verificar la firma, la autenticación falla. Una clave pública DKIM se publica como un registro TXT de DNS. Este registro indica a los servidores de correo receptores cómo verificar la firma adjunta a tus correos electrónicos. Un registro DKIM básico tiene este aspecto: Un selector DKIM identifica qué clave pública debe utilizarse para validar una firma de correo electrónico concreta. En lugar de publicar una sola clave DKIM para todo un dominio, las organizaciones pueden crear varios selectores que apunten a claves diferentes. Esto permite que distintos proveedores de correo electrónico, aplicaciones o departamentos utilicen claves de firma independientes sin interferir entre sí. Por ejemplo, es posible que tu plataforma de marketing firme los correos electrónicos utilizando un selector, mientras que Microsoft 365 utilice otro. Un selector típico tiene este aspecto: Para configurar DKIM hay que generar un par de claves, publicar la clave pública en el DNS y configurar el servicio de correo electrónico para que firme los mensajes salientes utilizando la clave privada correspondiente. El proceso exacto varía ligeramente en función de tu proveedor de correo electrónico, pero el procedimiento general sigue siendo el mismo. El generador gratuito de registros DKIM de PowerDMARC crea un par de claves pública y privada en cuestión de segundos, lo que te ayuda a generar un registro DKIM preciso que puedes publicar directamente en tu DNS. Es compatible con las claves recomendadas de 2048 bits y elimina los errores de formato que suelen provocar fallos en la autenticación DKIM. Una vez publicado tu registro DKIM, el siguiente paso es comprobar que funciona según lo previsto. Esto implica verificar que tu servicio de correo electrónico genera correctamente las firmas DKIM y que los servidores de correo receptores pueden validarlas sin problemas. También puedes revisar manualmente los encabezados de los mensajes en Gmail, Outlook o Apple Mail para comprobar los resultados de la autenticación DKIM. En lugar de comprobar cada elemento manualmente, puedes verificar tu configuración de DKIM de una sola vez. La herramienta gratuita DKIM Checker de PowerDMARC confirma que tu registro DNS está publicado correctamente, valida tu selector y tu clave pública, comprueba si tus correos electrónicos están firmados y señala los problemas de configuración que podrían afectar a la autenticación o a la capacidad de entrega. Incluso cuando DKIM está configurado, pueden producirse errores de autenticación debido a configuraciones incorrectas del DNS, claves caducadas, selectores incorrectos o modificaciones del mensaje durante el tránsito. La mayoría de los problemas no se deben al protocolo DKIM en sí, ya que muchos de ellos son consecuencia de desviaciones en la configuración o de cambios en la infraestructura. A continuación te ofrecemos una breve descripción general de los errores más habituales relacionados con DKIM y dónde solucionarlos: Si DKIM deja de funcionar de repente tras cambiar de proveedor de correo electrónico o actualizar el DNS, comprueba que estás utilizando el selector correcto, que tu clave pública se ha propagado correctamente y que tu plataforma de correo electrónico está firmando de forma activa los mensajes salientes. El hecho de que una firma DKIM sea válida no significa automáticamente que un correo electrónico supere la verificación DMARC. DMARC requiere alineación, lo que significa que el dominio utilizado para firmar el correo electrónico (el Por ejemplo: Aunque la firma DKIM se valide correctamente, DMARC puede seguir fallando si el dominio que firma no coincide con el dominio del campo «De». DMARC admite dos modos de alineación: Muchas organizaciones recurren a plataformas de correo electrónico de terceros para enviar boletines informativos, correos electrónicos transaccionales o campañas de marketing. Si estos servicios firman los mensajes utilizando su propio dominio en lugar del tuyo, DKIM se supera, pero DMARC falla debido a una falta de alineación. Configurar la firma DKIM personalizada para cada proveedor ayuda a garantizar que la autenticación se realice correctamente en todo momento. La seguridad de DKIM depende en gran medida de la clave criptográfica que se utilice para firmar tus correos electrónicos. Aunque las claves RSA de 1024 bits fueron en su día el estándar, las recomendaciones actuales en materia de seguridad se decantan por las claves RSA de 2048 bits, que ofrecen una protección más sólida frente a los ataques de fuerza bruta y se ajustan a las mejores prácticas actuales del sector. La rotación periódica de claves reduce el impacto que puede tener el robo de una clave privada y ayuda a las organizaciones a mantener buenas prácticas de seguridad en el correo electrónico. El uso de selectores hace que esta transición sea fluida, ya que las claves antiguas y las nuevas pueden coexistir durante el periodo de migración. Las organizaciones que gestionan varios dominios o proveedores de correo electrónico suelen automatizar este proceso para reducir los gastos operativos y eliminar el riesgo de que las claves DKIM queden obsoletas o se olviden. SPF, DKIM y DMARC son protocolos complementarios diseñados para resolver diferentes aspectos de la autenticación del correo electrónico. En lugar de optar por un protocolo en detrimento de otro, las organizaciones deberían implementar los tres. Por ejemplo: En conjunto, ofrecen una protección mucho mayor contra los ataques de suplantación de identidad, phishing y suplantación que la que puede ofrecer cualquier protocolo por sí solo. La gestión de DKIM en distintos proveedores de correo electrónico se vuelve cada vez más compleja a medida que las organizaciones crecen. Las distintas plataformas de marketing, los sistemas CRM, los servicios de asistencia técnica y los servicios de correo electrónico transaccional suelen requerir selectores DKIM independientes, registros DNS únicos y una rotación periódica de claves. El servicio DKIM alojado simplifica este proceso al centralizar la gestión de DKIM, reducir el mantenimiento manual del DNS y ayudar a las organizaciones a mantener una autenticación adecuada en todas las plataformas de envío. Si gestionas DKIM en varios dominios o proveedores de correo electrónico, la rotación manual de claves puede resultar difícil de mantener en poco tiempo. El servicio Hosted DKIM de PowerDMARC te permite gestionar selectores, rotar claves de firma y actualizar registros DKIM desde un panel de control centralizado tras una configuración única del DNS, lo que reduce los cambios manuales y ayuda a mantener una autenticación coherente en toda tu infraestructura de correo electrónico. Seguir algunas buenas prácticas operativas puede mejorar considerablemente tanto la fiabilidad de la autenticación como la facilidad de mantenimiento a largo plazo. La supervisión periódica es tan importante como la configuración inicial. Los proveedores de correo electrónico modifican sus configuraciones, los registros DNS evolucionan y, con el tiempo, se añaden nuevos servicios de envío. Las auditorías periódicas ayudan a garantizar que DKIM siga protegiendo tu dominio a medida que crece tu infraestructura de correo electrónico. DKIM desempeña un papel fundamental en la autenticación moderna del correo electrónico, ya que permite a los servidores de correo receptores verificar que tus mensajes proceden realmente de tu dominio y que no han sido modificados durante la transmisión. Aunque constituye una capa de protección esencial contra la suplantación de identidad y el phishing, DKIM resulta más eficaz cuando se implementa junto con SPF y se aplica mediante DMARC. Tanto si estás configurando DKIM por primera vez, como si estás solucionando errores de autenticación o gestionando varias plataformas de correo electrónico, el mantenimiento de registros DKIM en buen estado debe ser un proceso continuo. La validación periódica, la rotación de claves y la supervisión ayudan a garantizar que la autenticación de tu correo electrónico siga siendo eficaz a medida que evoluciona tu infraestructura. Utiliza el verificador DKIM gratuito de PowerDMARC para comprobar tu configuración, genera nuevos registros DKIM con el generador de registros DKIM y simplifica la gestión continua de claves con Hosted DKIM si estás protegiendo varios dominios o servicios de correo electrónico. Toma el control de la autenticación de tu correo electrónico con las herramientas DKIM gratuitas de PowerDMARC. Comprueba al instante tu dominio, genera un nuevo par de claves o explora toda la plataforma. Protege tus correos electrónicos contra la manipulación y gana confianza en tu configuración. No es necesario registrarse. Comprueba al instante el registro DKIM de tu dominio, valida tu selector y tu clave pública, e identifica cualquier problema de configuración. Genera un par de claves pública y privada y un registro DKIM válido en cuestión de segundos, sin tener que configurarlo manualmente. PowerDMARC te ayuda a pasar de la visibilidad a la protección total, sin tener que ir a ciegas. Desde la generación y rotación de claves DKIM hasta la aplicación de políticas DMARC y el análisis de informes detallados, la plataforma te ofrece un control total sobre la autenticación de tu correo electrónico. Incluso si gestionas varios dominios y proveedores, PowerDMARC simplifica la supervisión, la aplicación de políticas, la generación de informes y la gestión de múltiples dominios desde un único panel de control centralizado. La plataforma se ha diseñado teniendo en cuenta la seguridad y el cumplimiento normativo de nivel empresarial, y cumple con las normas SOC 2, ISO 27001 y RGPD, por lo que sus datos permanecen protegidos a medida que aumenta la seguridad de su correo electrónico. Los clientes confían en PowerDMARC no solo por su profundidad, sino también por su claridad. «PowerDMARC es una herramienta muy potente y completa que simplifica enormemente el trabajo diario de supervisión de la autenticación del correo electrónico y las funciones de seguridad. Ofrece una visibilidad y una claridad que, de otro modo, serían difíciles de conseguir. ¡Recomiendo PowerDMARC a cualquiera que quiera reforzar su seguridad en el correo electrónico!» Para los equipos globales, la accesibilidad también es importante. «PowerDMARC resuelve la complejidad que supone gestionar múltiples protocolos de seguridad del correo electrónico. No se trata solo de pasar a una política de «p=reject», sino que ofrece una solución integral al alojar también DKIM y DMARC. Lo que más me gusta de PowerDMARC es su compatibilidad total con el idioma japonés, lo que hace que la plataforma sea mucho más accesible y fácil de gestionar en comparación con otras herramientas». Así pues, si estás listo para poner fin a la manipulación de mensajes, mejorar la capacidad de entrega y obtener una visibilidad total sobre cómo se firman los correos electrónicos de tu dominio, PowerDMARC te ofrece las herramientas y la asistencia necesarias para hacerlo bien. No. DKIM no cifra los correos electrónicos ni protege su contenido para que no pueda ser leído. Lo que hace es verificar que el mensaje no haya sido modificado después de su firma. Sí. SPF y DKIM resuelven problemas distintos. SPF autentifica el servidor remitente, mientras que DKIM autentifica el propio mensaje. El uso de ambos ofrece una protección mayor y mejora el cumplimiento de DMARC. Sí. DKIM funciona de forma independiente de DMARC, pero es DMARC el que garantiza el cumplimiento de las políticas de autenticación y la coherencia. La implementación de DKIM sin DMARC proporciona autenticación, pero no indica a los servidores receptores cómo gestionar los mensajes que no se han podido entregar. La mayoría de las organizaciones renuevan las claves DKIM cada 6 a 12 meses o inmediatamente después de que se sospeche que se ha producido una violación de la seguridad. En entornos de alta seguridad, es posible que las claves se renueven con mayor frecuencia. Sí. Es habitual que las organizaciones publiquen varios selectores DKIM para distintos proveedores de correo electrónico o durante la rotación de claves. Cada selector hace referencia a una clave pública independiente, lo que permite que coexistan de forma segura varias configuraciones de firma.
Guía sobre DKIM: qué es, cómo funciona y cómo configurarlo
Puntos clave
Explicación de DKIM
Índice de contenidos
¿Qué es DKIM?
Cómo funciona DKIM
Explicación de la sintaxis del registro DKIM
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCA...
Explicación de los selectores DKIM
selector1._domainkey.example.com
Cómo configurar DKIM
Guías de configuración específicas para cada proveedor
¿Necesitas generar un registro DKIM?
Cómo comprobar y validar DKIM
Una validación exhaustiva de DKIM debería confirmar que:
Comprueba todo de una sola vez
Errores habituales de DKIM y cómo solucionarlos
Error ¿Qué está pasando? Guía de solución de problemas No se ha encontrado ningún registro DKIM El servidor receptor no ha podido localizar tu clave pública en el DNS. No se ha encontrado ningún registro DKIM No se ha encontrado el selector El correo electrónico hace referencia a un selector que no existe en el DNS. Cómo encontrar un selector DKIM La firma DKIM no es válida El correo electrónico se ha modificado después de firmarlo o la firma no es válida. Solucionar el error «La firma DKIM no es válida» Error permanente de DKIM Un problema de DNS o de configuración impide la verificación. Cómo solucionar el error «DKIM PermError» DKIM: ninguno El correo electrónico no llevaba ninguna firma. DKIM: sin firma: mensaje sin firmar Error en la verificación de DKIM El dominio de la firma no coincide con la dirección «De» que se muestra. Corregir la alineación de DKIM con el RFC 5322 Alineación de DKIM y DMARC
d= (el valor de la firma DKIM) debe coincidir con el dominio que aparece en la dirección «De:» visible, o ser un subdominio autorizado de dicho dominio.
Modo Descripción Relajado (adkim=r) Los subdominios se consideran alineados. Estricto (adkim=s) Los dominios deben coincidir exactamente. Longitudes de las claves DKIM
Longitud de la llave Recomendación RSA de 1024 bits Obsoleto. Es compatible con muchos proveedores, pero se está dejando de utilizar progresivamente. RSA de 2048 bits Recomendado para la mayoría de las organizaciones. Ed25519 Se admitían los algoritmos más recientes que ofrecían una mayor seguridad con claves de menor tamaño. Rotación de claves DKIM
Un proceso típico de rotación consiste en:
DKIM, SPF y DMARC
Protocolo Objetivo principal SPF Comprueba que el servidor remitente esté autorizado a enviar correos electrónicos en nombre de un dominio. DKIM Comprueba que el correo electrónico no haya sido modificado tras su firma. DMARC Sincroniza los campos SPF y DKIM con la dirección «De» visible e indica a los destinatarios cómo gestionar los errores.
DKIM alojado
Sin una gestión centralizada, es fácil perder de vista:
Centralizar el DKIM para todos los remitentes
Mejores prácticas de DKIM
Refuerza la autenticación de tu correo electrónico con DKIM
Herramientas gratuitas de PowerDMARC
Inspector de registros DKIM
Características principales:
Generador de registros DKIM
Características principales:
Protege tu correo electrónico. Aplica DKIM y DMARC con total confianza.
Preguntas frecuentes
¿DKIM cifra los correos electrónicos?
¿Necesito DKIM si ya utilizo SPF?
¿Puede funcionar DKIM sin DMARC?
¿Con qué frecuencia se deben renovar las claves DKIM?
¿Puedo tener varios registros DKIM?
¿Qué es DKIM?
Cómo funciona DKIM
Sintaxis del registro DKIM
Selectores DKIM
Cómo configurar DKIM
Comprobar y validar DKIM
Errores comunes de DKIM
Alineación de DKIM y DMARC
Longitudes de las claves DKIM
Rotación de claves DKIM
DKIM, SPF y DMARC: comparativa
DKIM alojado
Buenas prácticas de DKIM
Preguntas frecuentes
Microsoft 365
Amazon SES
SendGrid
Mailchimp
HubSpot
Salesforce
Mailgun
Zoho
Shopify
Cloudflare
GoDaddy
cPanel
Namecheap
Brevo
Squarespace
Matasellos
ActiveCampaign
MailerLite
Utilizar claves RSA de 2048 bits
Ofrece una protección criptográfica más sólida.
Cambia las llaves con regularidad
Reduce el riesgo de que las claves de firma se vean comprometidas.
Utiliza selectores distintos para cada proveedor
Simplifica la gestión y la resolución de problemas.
Eliminar los selectores que no se utilicen
Reduce la superficie de ataque innecesaria.
Validar DKIM tras los cambios en el DNS
Confirma que las firmas siguen verificándose correctamente.
Supervisa la autenticación con regularidad
Detecta los fallos antes de que afecten a la capacidad de entrega.
Revisar periódicamente la infraestructura de correo electrónico
Identifica proveedores obsoletos y registros DNS desactualizados.
SOC 2
ISO 27001
RGPD