DKIM: qué es, cómo funciona y cómo configurarlo
La firma digital que demuestra que tus emails son tuyos y llegan intactos
DKIM (DomainKeys Identified Mail) es una firma digital que se añade a cada email para demostrar que lo envía tu dominio. También prueba que nadie lo ha modificado por el camino. El servidor que lo recibe comprueba esa firma con un dato que publicas en tu DNS.
Piensa en el sello de lacre de una carta antigua. Si llega intacto, sabes quién la envió y que nadie la ha abierto.
Esta firma hace lo mismo con tus correos. Y hoy es casi obligatoria: sin ella, muchos de tus emails acabarán en spam.
¿Qué es DKIM?
Es un estándar de autenticación de correo definido en la RFC 6376 (2011). Nació de la unión de dos propuestas anteriores: DomainKeys, de Yahoo, e Identified Internet Mail, de Cisco.
Su objetivo es responder a dos preguntas: ¿este mensaje lo envió de verdad el dominio que dice? ¿Ha llegado tal cual salió?
Para eso usa criptografía de clave pública. Tu servidor firma cada mensaje con una clave privada, y cualquiera puede comprobar el resultado con la pública, que está en tu DNS.
¿Cómo funciona la firma DKIM?
El proceso tiene cuatro pasos y ocurre en milisegundos, sin que el destinatario lo note.
1. El servidor firma el mensaje
Al enviar, el servidor calcula un resumen (hash) de las cabeceras y del cuerpo del email y lo cifra con la clave privada. El resultado se añade al mensaje en una cabecera llamada DKIM-Signature.
2. La firma viaja con el email
Esa cabecera incluye el dominio que firma (etiqueta d=), el selector (s=) y la propia firma (b=). El selector indica dónde está la clave pública en el DNS.
3. El receptor busca la clave pública
El servidor que recibe el correo consulta el DNS en selector._domainkey.tudominio.com y obtiene ese dato.
4. El receptor comprueba la firma
Con él descifra la firma y la compara con su propio cálculo del mensaje. Si coinciden, el resultado es dkim=pass. Si alguien ha cambiado algo, la firma no cuadra y el resultado es fail.
Qué contiene un registro DKIM
Es un TXT (o un CNAME que apunta a él) con unas pocas etiquetas:
| Etiqueta | Qué indica | Ejemplo |
|---|---|---|
| v | Versión del protocolo | v=DKIM1 |
| k | Tipo de clave | k=rsa |
| p | Clave pública | p=MIIBIjANBgkqh… |
| Nombre del registro | Selector + _domainkey + dominio | ipz._domainkey.tudominio.com |
Usa claves de 2048 bits si tu proveedor lo permite. Las de 1024 bits siguen funcionando, pero son menos seguras.
¿Por qué es tan importante?
Porque Gmail, Yahoo y Microsoft ya lo exigen. Desde febrero de 2024, Gmail y Yahoo piden los tres protocolos de autenticación a quien envía más de 5.000 correos al día. Microsoft aplica requisitos parecidos en Outlook desde mayo de 2025.
También protege tu marca. Sin firma es más fácil que alguien suplante tu dominio para enviar phishing.
Y mejora tu entregabilidad. Un dominio que firma siempre sus correos construye reputación con los proveedores de email.
DKIM, SPF y DMARC: diferencias
Los tres trabajan juntos, pero cada uno comprueba una cosa distinta:
| Protocolo | Qué comprueba | Dónde se configura |
|---|---|---|
| SPF | Qué servidores pueden enviar en nombre de tu dominio | Un TXT en el DNS de tu dominio |
| DKIM | Que el mensaje lo firmó tu dominio y no se ha alterado | Un TXT o CNAME en selector._domainkey |
| DMARC | Qué hacer si SPF o DKIM fallan y quién recibe los informes | Un TXT en _dmarc |
La firma tiene una ventaja sobre SPF: suele sobrevivir al reenvío, porque la firma va dentro del mensaje. SPF, en cambio, falla cuando otro servidor reenvía el correo.
Para que DMARC dé el visto bueno, el dominio de la firma tiene que coincidir con el del remitente. Es lo que se llama alineación. Tienes el detalle en autenticación de correo.
Envía emails autenticados con tu dominio
Configura DKIM, SPF y DMARC en Mailrelay y envía hasta 80.000 emails al mes gratis a 20.000 contactos.
Cómo configurar DKIM paso a paso
La configuración se hace en el DNS de tu dominio y lleva cuatro pasos. No necesitas tocar tu servidor de correo.
1. Consigue los datos de tu proveedor de envío
Cada plataforma te da el selector y el valor del registro, o un CNAME que apunta a él. Usa siempre los datos de tu proveedor: no copies los de otro.
2. Crea el registro en tu DNS
Entra en el panel de tu dominio y añade el TXT o el CNAME con el nombre exacto. Si usas Cloudflare, deja el CNAME en modo «Solo DNS», sin el proxy activado.
3. Espera a que se propague
Los cambios de DNS pueden tardar desde unos minutos hasta 48 horas.
4. Comprueba que funciona
Envíate un correo a Gmail y abre el menú «Mostrar original». Tienes que ver DKIM: PASS con tu dominio. También puedes usar herramientas como MXToolbox o mail-tester.
Errores frecuentes al configurarlo
El error más habitual es un selector mal escrito. Si el nombre del registro no coincide con el que usa la firma, el receptor no lo encuentra.
Otros fallos comunes:
- el valor del registro cortado al pegarlo en el DNS;
- el proxy de Cloudflare activado en el CNAME;
- firmar con el dominio del proveedor en lugar del tuyo, lo que rompe la alineación con DMARC;
- modificar el mensaje después de firmarlo, por ejemplo con un pie añadido por otro servidor.
Cómo configurar DKIM en Mailrelay
En Mailrelay la firma se configura con un CNAME. Crea un registro llamado ipz._domainkey.tudominio.com que apunte a dkim.ipzmarketing.com, cambiando tudominio.com por tu dominio real.
Después añade el SPF y el DMARC, y comprueba que todo está correcto en Configuración → Autenticación de email. Tienes todos los registros juntos en la guía del dominio de envío.
Si tienes dudas, el soporte te ayuda por chat, ticket o teléfono en todos los planes, también en la cuenta gratuita.
Mejora la entregabilidad de tus campañas
Autentica tu dominio en minutos y, si te atascas, el soporte te ayuda por chat, ticket o teléfono.
Preguntas frecuentes sobre DKIM
Estas son las dudas más habituales sobre esta firma.
¿Qué significa DKIM?
DomainKeys Identified Mail: correo identificado mediante claves de dominio. Es una firma digital que autentica tus emails.
¿DKIM es obligatorio?
No lo exige ninguna ley, pero Gmail, Yahoo y Microsoft lo piden a los remitentes de gran volumen. Sin esta firma, tus correos tienen muchas más papeletas de acabar en spam o de ser rechazados.
¿Qué es un selector DKIM?
Es el nombre que identifica un registro concreto en tu DNS. Permite tener varios a la vez, por ejemplo uno por cada proveedor de envío.
¿Cómo sé si mi dominio tiene DKIM?
Envíate un email a Gmail y abre «Mostrar original». Si aparece DKIM: PASS con tu dominio, está bien configurado.
¿Puedo tener varios registros DKIM?
Sí. Cada proveedor usa su propio selector, así que puedes tener uno para Mailrelay, otro para tu correo corporativo y otro para tu tienda online.