Ayuda y Resolución de problemas
DKIM
Qué es esto
DKIM firma el correo saliente con una clave privada; los receptores obtienen la clave pública de selector._domainkey.tudominio.com para verificar que el mensaje fue autorizado y no modificado. Cada proveedor usa su propio nombre de selector.
Cómo interpretar tu resultado
Un registro sano contiene p= seguido de una clave larga en base64. Un p= vacío significa que la clave fue revocada. No encontrar un registro a menudo solo significa que consultaste el selector equivocado: consulta la documentación de tu proveedor para saber el nombre exacto del selector.
Problemas comunes y cómo solucionarlos
Falta el registro DKIM del selector con el que firma el proveedor
Cómo se manifiesta: Los receptores muestran dkim=fail o dkim=none; los informes de DMARC listan fuentes que fallan y que en realidad son tu propio proveedor.
Cómo solucionarlo: Copia el registro exacto (selector y valor) de la consola de administración de tu proveedor de correo al DNS. Para Microsoft 365 y algunos otros, además debes hacer clic en "habilitar DKIM" en la consola tras publicar los CNAME.
Registro truncado o reformateado por el proveedor de DNS
Cómo se manifiesta: La verificación DKIM falla aunque el registro "existe"; la clave en el DNS difiere sutilmente de la emitida.
Cómo solucionarlo: Vuelve a pegar el valor; para claves de más de 255 caracteres, asegúrate de que el proveedor las divida correctamente en varias cadenas entre comillas. Verifica con una consulta y compara el valor p= completo carácter por carácter.
La clave nunca se rotó
Cómo se manifiesta: La misma clave DKIM ha firmado el correo durante años; un compromiso de esa clave permitiría a los atacantes firmar como tú indefinidamente.
Cómo solucionarlo: Rota las claves periódicamente (los proveedores con selectores emparejados como selector1/selector2 lo automatizan). Publica la clave nueva, cambia el firmado, y luego revoca la antigua con un p= vacío tras un periodo de transición.