¿Qué es DKIM?

Qué es

DKIM usa un par de claves. El sistema que envía conserva una clave privada y firma con ella cada mensaje saliente, cubriendo el cuerpo y encabezados elegidos, como From, To y Subject. La firma viaja en un encabezado, junto con el dominio firmante y un nombre de selector.

La clave pública correspondiente se publica en su DNS en selector._domainkey seguido de su dominio. El receptor la consulta y verifica la firma. Un resultado correcto significa que las partes firmadas llegaron exactamente como se enviaron, desde un sistema que posee su clave.

Qué soporta y qué la rompe

• Reenvío: la firma sigue siendo válida cuando un mensaje se reenvía sin cambios, porque pertenece al mensaje y no al servidor de origen. En esto DKIM funciona mejor que SPF.
• Cambios en tránsito: una lista de correo que agrega un pie de página o edita el asunto, o un filtro que reescribe el cuerpo, rompe la firma.

Una clave por cada servicio que envía

Cada servicio que envía como su dominio necesita tener DKIM activado por separado: Microsoft 365, una plataforma de boletines, un paquete de contabilidad que envía facturas por correo. Cada uno publica su propia clave pública con su propio selector, así que pueden coexistir varios. Microsoft 365 le pide agregar dos registros CNAME que apuntan a claves que administra Microsoft. Google Workspace le da un registro TXT para publicar. Un servicio que envía sin su propia firma es la causa habitual de los fallos una vez que se aplica DMARC.

Use claves de 2048 bits cuando el servicio y el proveedor de DNS lo permitan, y cambie las claves de vez en cuando, algo que el sistema de selectores permite sin interrumpir el correo.

Por qué le importa a una empresa

Una firma válida da a los receptores un motivo para confiar en su correo y permite que DMARC lo vincule con su dirección From. DKIM por sí solo no indica qué hacer con un mensaje que falla. Consulte nuestra guía de autenticación de correo.

Cómo trabaja KawaConnect con DKIM

Activamos la firma DKIM en Exchange Online y publicamos los registros cuando configuramos o migramos Microsoft 365, y luego revisamos los demás servicios desde los que envía la empresa. Consulte nuestra página de Microsoft 365 y nuestra guía del correo empresarial.

Más información

• DomainKeys Identified Mail en WikipediaUn panorama neutral de cómo funcionan las firmas y los selectores de DKIM.
• Autenticación de correo en Microsoft 365El resumen de Microsoft, con enlaces a sus pasos para activar DKIM en un dominio personalizado.
• DMARC, DKIM y SPF en CloudflareCómo encaja DKIM con los otros dos registros, escrito para quienes no son especialistas.