Verificador gratuito de registros DKIM

DKIM (DomainKeys Identified Mail) utiliza firmas criptográficas para verificar la autenticidad de los correos electrónicos.

Un selector es una etiqueta que se usa para distinguir entre varias claves DKIM en un mismo dominio (por ejemplo, google, mail, s1).

Sí, completamente gratis.

Por supuesto. El comprobador de registros DKIM procesa todo en el lado del cliente, dentro de tu navegador. No se sube ni se almacena ningún dato en ningún servidor. Tu contenido permanece privado en tu dispositivo en todo momento.

Sí, el comprobador de registros DKIM es totalmente adaptable y funciona en smartphones y tablets. Puedes usarlo en cualquier dispositivo con un navegador web moderno, sin necesidad de descargar ninguna aplicación.

No se necesita ninguna cuenta ni registro. Simplemente abre el comprobador de registros DKIM en tu navegador y empieza a usarlo de inmediato. No hay muros de registro ni restricciones de uso.

Solo tienes que introducir tus datos en el campo correspondiente, ajustar las opciones a tu gusto y la herramienta los procesará al instante. Después puedes copiar el resultado al portapapeles o descargarlo.

El comprobador de registros DKIM funciona en todos los navegadores modernos, incluidos Chrome, Firefox, Safari, Edge y Opera. Para una mejor experiencia, usa la última versión de tu navegador preferido.

No existe un comando DNS que liste todos los selectores de un dominio, porque los registros DKIM se ubican en un nombre de host específico —selector._domainkey.tudominio.com— y solo puedes consultar un nombre que ya conozcas. La forma más rápida de averiguar el tuyo es abrir un mensaje reciente enviado por tu dominio y leer la cabecera DKIM-Signature: la etiqueta s= es el selector. Si no puedes ver las cabeceras, el selector casi siempre coincide con el valor predeterminado de tu plataforma de envío, como google para Google Workspace, k1 o mandrill para Mailchimp, s1 y s2 para SendGrid, o protonmail para Proton. Este verificador incluye esos selectores comunes como botones de un clic, para que puedas probar cada uno en segundos hasta que el registro se resuelva y confirmar qué clave está publicando realmente tu proveedor.

La etiqueta p= contiene la clave pública que los servidores receptores usan para verificar tus firmas, así que un p= vacío no es un espacio en blanco inofensivo: es una revocación explícita. Publicar p= sin valor le indica al mundo que cualquier clave previamente asociada a ese selector ya no es válida, y el correo firmado con ella fallará la verificación DKIM. Los proveedores hacen esto intencionadamente cuando retiran un selector tras una rotación de claves, pero también ocurre por accidente cuando un registro se copia mal o se trunca en un editor de DNS. Si el correo legítimo empieza a fallar la autenticación de repente, una clave vacía en tu selector activo es un sospechoso principal. Esta herramienta marca un p= ausente como revocado en lugar de válido, para que puedas detectar una clave muerta de inmediato y volver a publicar un registro nuevo.

Una clave RSA de 1024 bits todavía produce firmas válidas y pasará la autenticación hoy, pero ya no es el estándar recomendado. NIST y la mayoría de los grandes proveedores de buzones consideran ahora 2048 bits como la referencia mínima para DKIM, porque se estima que las claves de 1024 bits son cada vez más viables de romper dado el poder de cómputo actual. El riesgo práctico es que un atacante que factorice la clave podría falsificar correo firmado en nombre de tu dominio. Actualizar implica generar una nueva clave de 2048 bits en tu proveedor de correo, publicar la nueva clave pública bajo un selector nuevo, y eliminar el antiguo una vez que el correo fluya sin problemas. Este verificador estima el tamaño de la clave a partir de la clave pública publicada y la califica como fuerte a partir de 2048 bits, aceptable en 1024, y débil por debajo de eso, para que puedas ver de un vistazo si tu registro necesita una actualización.

Cuando te mudas a una nueva plataforma de envío, el nuevo proveedor firma tu correo saliente con su propia clave privada bajo su propio selector, y esa clave solo funciona si la clave pública correspondiente está publicada en tu DNS. Los fallos suelen ocurrir porque el selector del proveedor anterior sigue en su sitio mientras el nuevo nunca se añadió, o porque el nuevo registro TXT se pegó incorrectamente y la clave pública quedó mal formada. El servidor receptor busca el selector indicado en la firma de cada mensaje, así que si ese nombre de host exacto no tiene un registro válido, la verificación falla y DMARC puede rechazar el correo sin previo aviso. Después de cualquier cambio de proveedor, comprueba aquí el nuevo selector para confirmar que el registro se resuelve y que la clave pública está presente, y luego elimina el selector obsoleto para que las configuraciones antiguas y sin firmar no generen confusión.

Los tres trabajan juntos, pero verifican cosas distintas. SPF publica una lista de direcciones IP y servidores autorizados para enviar correo en nombre de tu dominio, de modo que un receptor pueda confirmar que el mensaje proviene de una fuente autorizada. DKIM añade una firma criptográfica a cada mensaje y publica la clave pública en el DNS, demostrando que el correo realmente proviene de tu dominio y que no fue alterado en tránsito. DMARC los une: indica a los receptores qué hacer cuando SPF o DKIM fallan —none, quarantine o reject— y dónde enviar los informes. Una política DMARC estricta necesita que al menos uno de SPF o DKIM pase y esté alineado, razón por la cual un registro DKIM roto puede reducir tu alcance sin previo aviso. Usa este verificador para confirmar que la parte DKIM está en buen estado antes de endurecer tu política DMARC.