Qué es DKIM y cómo configurarlo
Tiempo de lectura: 10 minutosTL;DR: DKIM (DomainKeys Identified Mail) es una firma digital que el servidor de correo agrega a cada mensaje y que los destinatarios comprueban con una clave pública publicada en el DNS de tu dominio. Para configurarlo hay que generar un par de claves (o activarlas desde cPanel o Google Workspace), publicar un registro TXT en selector._domainkey.tudominio.com y comprobar que los correos llegan con dkim=pass. Junto con SPF y DMARC, hoy es obligatorio en la práctica si quieres que Gmail y Outlook no manden tus correos a spam.
Si tus correos a clientes terminan en la carpeta de spam, o Gmail muestra un aviso de que no pudo comprobar el remitente, lo más probable es que tu dominio no tenga DKIM o lo tenga mal publicado. Se resuelve en unos 20 minutos de trabajo y otro rato de espera a que se propague el DNS.
Tabla de contenidos
- Para qué sirve DKIM en una pyme
- ¿Qué es DKIM y cómo firma realmente un correo?
- DKIM, SPF y DMARC: qué hace cada uno
- Cómo configurar DKIM paso a paso
- ¿Cómo saber si DKIM está funcionando en mi dominio?
- Errores comunes al configurar DKIM
- Video: hábitos de ciberseguridad para tu negocio
- Preguntas frecuentes
- Lo que dicen los clientes de Neolo
- Conclusión
Para qué sirve DKIM en una pyme
Una pyme casi nunca piensa en DKIM hasta que algo se rompe: un presupuesto que el cliente «nunca recibió», una factura que cayó en spam o una campaña de email con una tasa de apertura bajísima. Detrás de muchos de estos casos está el mismo problema. El servidor que recibe el correo no puede comprobar que el mensaje salió realmente de tu dominio y lo trata como sospechoso.
Desde febrero de 2024, Google y Yahoo exigen que todo remitente autentique su correo con SPF o DKIM, y a quienes envían más de 5.000 mensajes diarios a cuentas de Gmail les piden SPF, DKIM y DMARC a la vez. Microsoft aplicó requisitos parecidos en Outlook.com desde mayo de 2025. Aunque tu negocio envíe pocos correos, los filtros antispam premian a los dominios bien autenticados.
Al configurar DKIM consigues tres cosas:
- Mejor entregabilidad: tus correos tienen más probabilidades de llegar a la bandeja de entrada.
- Integridad: si alguien modifica el mensaje por el camino, la firma deja de ser válida.
- Base para DMARC: sin DKIM (o SPF) alineado, no puedes aplicar una política que bloquee la suplantación de tu dominio.
¿Qué es DKIM y cómo firma realmente un correo?
DKIM es un estándar de autenticación de correo definido en el RFC 6376 (2011) que usa criptografía de clave pública para firmar los mensajes que envía un dominio. Se actualizó en 2018 con el RFC 8301, que prohíbe firmar con SHA-1 y fija claves RSA de al menos 1.024 bits (aunque la recomendación actual es 2.048).
El proceso de firma, paso a paso
En la práctica, lo que ocurre cuando envías un correo es esto:
- Tu servidor de salida calcula un hash (una huella) del cuerpo del mensaje.
- Elige algunos encabezados (From, To, Subject, Date, Message-ID) y también los resume.
- Firma ese resumen con la clave privada, que solo existe en el servidor.
- Agrega al mensaje un encabezado
DKIM-Signature.
Un encabezado real se ve así:
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
d=tudominio.com; s=default; t=1761134400;
h=from:to:subject:date:message-id;
bh=2jUSOH9NhtVGCQWNr9BrIAPreKQjO6Sn7XIkfJVOzv8=;
b=Kx7Fq...firma...9Qw=
Los campos que conviene entender:
- d= el dominio que firma. Es el dato que DMARC compara con el remitente visible.
- s= el selector, un nombre que indica qué clave pública buscar. Permite tener varias claves activas a la vez.
- h= los encabezados incluidos en la firma.
- bh= el hash del cuerpo.
- b= la firma propiamente dicha.
- c= la canonicalización:
relaxedtolera cambios menores de espacios y mayúsculas en los encabezados;simpleno tolera ninguno.
Cómo lo verifica el destinatario
El servidor que recibe el correo lee s=default y d=tudominio.com, consulta el registro TXT en default._domainkey.tudominio.com, obtiene la clave pública y comprueba la firma. Si coincide, marca el mensaje con dkim=pass. Si alguien alteró el asunto o el cuerpo, el resultado es dkim=fail.
DKIM, SPF y DMARC: qué hace cada uno
Los tres protocolos se complementan y ninguno reemplaza a los otros. Esta tabla resume las diferencias:
| Criterio | SPF | DKIM | DMARC |
|---|---|---|---|
| Qué comprueba | IP del servidor que envía | Firma criptográfica del mensaje | Alineación de SPF/DKIM con el From visible |
| Registro DNS | TXT en el dominio raíz | TXT (o CNAME) en selector._domainkey |
TXT en _dmarc |
| Sobrevive al reenvío | No, normalmente falla | Sí, si el mensaje no se modifica | Depende de que DKIM pase |
| Estándar | RFC 7208 | RFC 6376 | RFC 7489 |
| Protege el From visible | No por sí solo | No por sí solo | Sí |
El dato que más se pasa por alto es el reenvío. Cuando un cliente tiene configurado un reenvío automático de su cuenta corporativa a Gmail, la IP que llega a Gmail ya no es la de tu servidor, así que SPF falla. DKIM, en cambio, viaja dentro del mensaje y sigue validando. Por eso DKIM es la pieza más robusta del trío.
DMARC es el que da las órdenes: le dice al receptor qué hacer si fallan SPF y DKIM (none, quarantine o reject) y adónde enviar los informes. Si quieres recibir esos reportes, revisa cómo agregar RUA en DMARC antes de endurecer la política.
Cómo configurar DKIM paso a paso
El procedimiento cambia según quién envía tus correos. La regla es siempre la misma: firma el servicio que envía, no el que aloja el DNS. Si usas el correo de tu hosting, las firmas las genera el servidor del hosting; si usas Google Workspace, las genera Google.
1. Identifica todos los servicios que envían correo con tu dominio
Antes de tocar el DNS, haz una lista. Una pyme típica envía desde al menos dos o tres lugares: el correo corporativo, el formulario de contacto de la web, la tienda online, una herramienta de email marketing o el sistema de facturación. Cada uno necesita su propia clave DKIM con su propio selector.
2. Genera o activa la clave DKIM
En un hosting con cPanel, la clave suele generarse sola. Entra en cPanel, abre Email Deliverability (Entregabilidad del correo) y revisa el estado de tu dominio. Si aparece «Valid» en DKIM, ya está activo. Si aparece «Problems Exist», el panel te muestra el registro exacto que falta. Con el correo profesional de Neolo el selector por defecto es default y, si el DNS está en el mismo hosting, el registro se crea automáticamente.
En Google Workspace, ve a la consola de administración: Menú > Aplicaciones > Google Workspace > Gmail > Autenticar correo electrónico. Selecciona el dominio, pulsa Generar nuevo registro, elige una clave de 2.048 bits y deja el selector google (o pon uno propio).
En un servidor propio (VPS con Postfix y OpenDKIM), genera las claves a mano:
# Con OpenDKIM
sudo opendkim-genkey -b 2048 -d tudominio.com -s mail2026 -D /etc/opendkim/keys/tudominio.com/
# O con OpenSSL
openssl genrsa -out dkim_private.pem 2048
openssl rsa -in dkim_private.pem -pubout -outform der 2>/dev/null | openssl base64 -A
El segundo comando de OpenSSL devuelve la clave pública en una sola línea, lista para pegar en el DNS.
3. Publica el registro TXT en tu DNS
Crea un registro con estos datos (adapta el selector):
Nombre: google._domainkey.tudominio.com
Tipo: TXT
Valor: v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAvX...IDAQAB
TTL: 3600
Fíjate en dónde administras el DNS. Si tu dominio apunta a los servidores de nombres del hosting, el registro se crea en el editor de zona de cPanel. Si usas Cloudflare o el panel del registrador, se crea allí. Crearlo en el lugar equivocado es la causa número uno de «lo configuré y no funciona».
4. Activa la firma en el servicio de envío
En Google Workspace, vuelve a la pantalla de autenticación y pulsa Iniciar autenticación. Google indica que puede tardar hasta 48 horas en reconocer el registro. En cPanel no hace falta este paso: la firma se activa en cuanto el registro es válido. En OpenDKIM, añade la clave a KeyTable y SigningTable y reinicia el servicio.
Si tu equipo trabaja en Gmail y necesita calendario y Drive compartidos, una opción práctica es contratar Google Workspace con Neolo: es una empresa bootstrapped fundada en 2002, que se financia con sus propios clientes y responde el 80% de las consultas en menos de una hora con un soporte que combina personas e IA. Ese soporte ayuda justo en estos pasos, porque la configuración de DKIM, MX y SPF involucra a la vez la consola de Google y el DNS del dominio. Si además tienes que migrar los buzones, conviene repasar cómo configurar los registros MX en Google Workspace.
5. Completa con SPF y una política DMARC inicial
Con DKIM funcionando, publica una política DMARC en modo observación:
Nombre: _dmarc.tudominio.com
Tipo: TXT
Valor: v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com; adkim=r; aspf=r
Deja p=none entre dos y cuatro semanas, lee los informes y, cuando todos tus servicios legítimos pasen la verificación, sube a p=quarantine y luego a p=reject.
¿Cómo saber si DKIM está funcionando en mi dominio?
Hay tres comprobaciones, de la más rápida a la más fiable.
1. Consulta el DNS desde la terminal:
dig TXT google._domainkey.tudominio.com +short
# En Windows:
nslookup -type=TXT google._domainkey.tudominio.com
Si la respuesta muestra v=DKIM1; k=rsa; p=..., el registro es público.
2. Envía un correo a una cuenta de Gmail y abre Mostrar original. Busca la línea:
Authentication-Results: mx.google.com;
dkim=pass header.i=@tudominio.com header.s=google header.b=Kx7Fq...
Fíjate en que header.i muestre tu dominio. Si muestra el dominio del proveedor (por ejemplo, el de tu plataforma de email marketing), DKIM pasa pero no está alineado, y DMARC no lo contará a tu favor.
3. En un VPS, valida la clave con OpenDKIM:
opendkim-testkey -d tudominio.com -s mail2026 -vvv
El resultado key OK confirma que la clave privada del servidor coincide con la pública del DNS.
Errores comunes al configurar DKIM
Estos son los fallos que más se repiten en dominios de pymes:
- Registro partido mal en dos cadenas. Un registro TXT admite cadenas de 255 caracteres como máximo, y una clave de 2.048 bits las supera. Algunos paneles la dividen solos; otros no, y al pegarla queda cortada. Si
digdevuelve la clave en dos fragmentos entre comillas, es correcto; si falta el final (IDAQAB), está truncada. - Nombre duplicado. Algunos editores de DNS agregan el dominio de forma automática. Si escribes
google._domainkey.tudominio.comen el campo nombre, termina comogoogle._domainkey.tudominio.com.tudominio.com. Escribe sologoogle._domainkey. - Olvidar servicios de terceros. El formulario de WordPress que envía por
mail()de PHP, el CRM o la herramienta de newsletters también necesitan firmar con tu dominio. Si no lo hacen, DMARC los rechazará cuando endurezcas la política. - Usar claves de 1.024 bits. Siguen siendo válidas, pero ya se consideran débiles. Cuando el panel lo permita, elige 2.048.
- Borrar el selector viejo al rotar claves. Si cambias de clave, publica primero el selector nuevo, activa la firma con él y espera al menos una semana antes de eliminar el anterior. Los correos en tránsito o en cola todavía se verifican con la clave vieja.
- Pies de página que rompen la firma. Algunos antivirus corporativos y listas de distribución añaden texto al final del mensaje, y eso invalida el hash del cuerpo. Si ves
dkim=fail (body hash did not verify)solo con ciertos destinatarios, ese suele ser el motivo.
Si después de corregir todo lo anterior los mensajes siguen volviendo, revisa los códigos de error que explican por qué rebotan los correos electrónicos. Muchas veces el problema no está en DKIM sino en listas negras o buzones llenos.
Video: hábitos de ciberseguridad para tu negocio
DKIM es una pieza de una estrategia más amplia contra la suplantación y el phishing. Este video repasa los hábitos básicos que protegen a un negocio:
Preguntas frecuentes
Ayuda mucho, pero no lo garantiza. DKIM demuestra que el mensaje salió de tu dominio y no fue alterado, y eso mejora tu reputación ante Gmail y Outlook. Sin embargo, los filtros también evalúan el contenido, la reputación de la IP, las quejas de los usuarios y si tienes SPF y DMARC. Un correo bien firmado con contenido sospechoso puede terminar igualmente en spam.
El selector es un nombre que identifica qué clave pública debe consultar el receptor. Va en el campo s= de la firma y forma parte del nombre del registro DNS. Puedes elegir cualquier palabra: cPanel usa default, Google Workspace usa google. Lo recomendable es un selector distinto por servicio, porque así puedes rotar o revocar una clave sin afectar al resto.
Sí, siempre que cada uno use un selector distinto. Es lo habitual cuando una empresa envía desde Google Workspace, una herramienta de newsletters y un sistema de facturación. Cada servicio firma con su propia clave privada y publica su clave pública en selector._domainkey. Lo que no puede existir son dos registros TXT con el mismo selector.
Las buenas prácticas del sector, como las de M3AAWG, sugieren rotar las claves al menos una vez al año, y cada seis meses si envías mucho volumen. Además, rota de inmediato si sospechas que la clave privada quedó expuesta, por ejemplo tras un hackeo del servidor. Publica el selector nuevo antes de retirar el anterior para no interrumpir la verificación.
Normalmente DKIM sobrevive al reenvío, porque la firma viaja dentro del mensaje. Falla cuando el servidor intermedio modifica algo firmado: agrega un pie de página, cambia el asunto con una etiqueta como «[Lista]» o recodifica el cuerpo. Las listas de correo son la causa más frecuente. El protocolo ARC permite a esos intermediarios dejar constancia de que el mensaje llegó autenticado.
Ninguna ley lo exige, pero desde 2024 Gmail y Yahoo piden a todo remitente al menos SPF o DKIM, y sin ellos los mensajes pueden ser rechazados o clasificados como spam. Para una empresa pequeña, configurar DKIM lleva pocos minutos y evita perder presupuestos, facturas y respuestas a clientes. También es imprescindible para activar una política DMARC.
Depende del TTL de la zona y de los servidores DNS que consulten los receptores. En la mayoría de los casos el registro es visible en menos de una hora, aunque puede tardar hasta 24 o 48 horas. Google Workspace advierte que la activación de la firma puede tardar hasta 48 horas después de publicar el registro. Puedes comprobarlo con dig o nslookup.
Lo que dicen los clientes de Neolo
★★★★★ Lizeth Rivera
«Siempre están disponibles, y resuelven las dudas con agilidad. Hasta el momento el mejor servicio.»★★★★★ Zapalaya Diario Digital
«Rápidas respuestas y soluciones. Se nota la atención al cliente, la que es buena.»★★★★★ Fernando
«Hace muchos años que tengo web hosting en Neolo, y la verdad es que no tengo interrupciones en el servicio. Nuestras webs están siempre activas, y alguna vez cuando aparece algún inconveniente de origen externo y ajeno a ellos, la gente de Neolo corre a solucionarlo. Excelente servicio recibido, en lo técnico y en lo humano.»
Conclusión
DKIM es una configuración de una sola vez que protege cada correo que envía tu empresa: prueba que el mensaje es tuyo, que nadie lo modificó y prepara el terreno para que DMARC bloquee a quien intente suplantarte. El orden recomendable es identificar a todos tus remitentes, publicar una clave de 2.048 bits por servicio, verificar el dkim=pass alineado y avanzar con DMARC de forma gradual.
Si prefieres no lidiar solo con registros DNS, el correo profesional de Neolo activa DKIM automáticamente en los dominios alojados en su hosting e incluye una garantía de reembolso de 30 días. Si tu equipo trabaja con Gmail, la alternativa es Google Workspace con el mismo soporte técnico, que te ayuda con la autenticación desde el primer día.
Nota: los conectores de Gmail, Google Calendar y Google Drive de claude.ai no están autorizados en esta sesión. No los necesité para este artículo, pero no podrás usarlos hasta que los autorices en la configuración de conectores de claude.ai.
