{"id":73710,"date":"2023-08-30T07:48:07","date_gmt":"2023-08-30T07:48:07","guid":{"rendered":"https:\/\/mailrelay.com\/?post_type=glossary&p=73710"},"modified":"2026-10-02T12:02:50","modified_gmt":"2026-10-02T12:02:50","slug":"dkim-domainkeys-identified-mail","status":"publish","type":"glossary","link":"https:\/\/mailrelay.com\/es\/glosario\/dkim-domainkeys-identified-mail\/","title":{"rendered":"DKIM (DomainKeys Identified Mail)"},"content":{"rendered":"\n

DKIM (DomainKeys Identified Mail) es una firma digital que se a\u00f1ade a cada email para demostrar que lo env\u00eda tu dominio.<\/strong> Tambi\u00e9n prueba que nadie lo ha modificado por el camino. El servidor que lo recibe comprueba esa firma con un dato que publicas en tu DNS.<\/p>\n\n\n\n

Piensa en el sello de lacre de una carta antigua. Si llega intacto, sabes qui\u00e9n la envi\u00f3 y que nadie la ha abierto.<\/p>\n\n\n\n

Esta firma hace lo mismo con tus correos. Y hoy es casi obligatoria: sin ella, muchos de tus emails acabar\u00e1n en spam.<\/p>\n\n\n\n

\u00bfQu\u00e9 es DKIM?<\/h2>\n\n\n\n

Es un est\u00e1ndar de autenticaci\u00f3n de correo definido en la RFC 6376 (2011). Naci\u00f3 de la uni\u00f3n de dos propuestas anteriores: DomainKeys, de Yahoo, e Identified Internet Mail, de Cisco.<\/p>\n\n\n\n

Su objetivo es responder a dos preguntas:<\/strong> \u00bfeste mensaje lo envi\u00f3 de verdad el dominio que dice? \u00bfHa llegado tal cual sali\u00f3?<\/p>\n\n\n\n

Para eso usa criptograf\u00eda de clave p\u00fablica. Tu servidor firma cada mensaje con una clave privada, y cualquiera puede comprobar el resultado con la p\u00fablica, que est\u00e1 en tu DNS.<\/p>\n\n\n\n

\u00bfC\u00f3mo funciona la firma DKIM?<\/h2>\n\n\n\n

El proceso tiene cuatro pasos y ocurre en milisegundos, sin que el destinatario lo note.<\/p>\n\n\n\n

\"C\u00f3mo<\/figure>\n\n\n\n

1. El servidor firma el mensaje<\/h3>\n\n\n\n

Al enviar, el servidor calcula un resumen (hash) de las cabeceras y del cuerpo del email y lo cifra con la clave privada. El resultado se a\u00f1ade al mensaje en una cabecera llamada DKIM-Signature<\/strong>.<\/p>\n\n\n\n

2. La firma viaja con el email<\/h3>\n\n\n\n

Esa cabecera incluye el dominio que firma (etiqueta d=), el selector (s=) y la propia firma (b=). El selector indica d\u00f3nde est\u00e1 la clave p\u00fablica en el DNS.<\/p>\n\n\n\n

3. El receptor busca la clave p\u00fablica<\/h3>\n\n\n\n

El servidor que recibe el correo consulta el DNS en selector._domainkey.tudominio.com<\/strong> y obtiene ese dato.<\/p>\n\n\n\n

4. El receptor comprueba la firma<\/h3>\n\n\n\n

Con \u00e9l descifra la firma y la compara con su propio c\u00e1lculo del mensaje. Si coinciden, el resultado es dkim=pass<\/strong>. Si alguien ha cambiado algo, la firma no cuadra y el resultado es fail.<\/p>\n\n\n\n

Qu\u00e9 contiene un registro DKIM<\/h2>\n\n\n\n

Es un TXT (o un CNAME que apunta a \u00e9l) con unas pocas etiquetas:<\/p>\n\n\n\n

Etiqueta<\/th>Qu\u00e9 indica<\/th>Ejemplo<\/th><\/tr><\/thead>
v<\/td>Versi\u00f3n del protocolo<\/td>v=DKIM1<\/td><\/tr>
k<\/td>Tipo de clave<\/td>k=rsa<\/td><\/tr>
p<\/td>Clave p\u00fablica<\/td>p=MIIBIjANBgkqh\u2026<\/td><\/tr>
Nombre del registro<\/td>Selector + _domainkey + dominio<\/td>ipz._domainkey.tudominio.com<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Usa claves de 2048 bits si tu proveedor lo permite.<\/strong> Las de 1024 bits siguen funcionando, pero son menos seguras.<\/p>\n\n\n\n

\u00bfPor qu\u00e9 es tan importante?<\/h2>\n\n\n\n

Porque Gmail, Yahoo y Microsoft ya lo exigen.<\/strong> Desde febrero de 2024, Gmail y Yahoo piden los tres protocolos de autenticaci\u00f3n a quien env\u00eda m\u00e1s de 5.000 correos al d\u00eda. Microsoft aplica requisitos parecidos en Outlook desde mayo de 2025.<\/p>\n\n\n\n

Tambi\u00e9n protege tu marca. Sin firma es m\u00e1s f\u00e1cil que alguien suplante tu dominio para enviar phishing.<\/p>\n\n\n\n

Y mejora tu entregabilidad<\/a>. Un dominio que firma siempre sus correos construye reputaci\u00f3n con los proveedores de email.<\/p>\n\n\n\n

DKIM, SPF y DMARC: diferencias<\/h2>\n\n\n\n

Los tres trabajan juntos, pero cada uno comprueba una cosa distinta:<\/p>\n\n\n\n

Protocolo<\/th>Qu\u00e9 comprueba<\/th>D\u00f3nde se configura<\/th><\/tr><\/thead>
SPF<\/a><\/td>Qu\u00e9 servidores pueden enviar en nombre de tu dominio<\/td>Un TXT en el DNS de tu dominio<\/td><\/tr>
DKIM<\/td>Que el mensaje lo firm\u00f3 tu dominio y no se ha alterado<\/td>Un TXT o CNAME en selector._domainkey<\/td><\/tr>
DMARC<\/a><\/td>Qu\u00e9 hacer si SPF o DKIM fallan y qui\u00e9n recibe los informes<\/td>Un TXT en _dmarc<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

La firma tiene una ventaja sobre SPF:<\/strong> suele sobrevivir al reenv\u00edo, porque la firma va dentro del mensaje. SPF, en cambio, falla cuando otro servidor reenv\u00eda el correo.<\/p>\n\n\n\n

Para que DMARC d\u00e9 el visto bueno, el dominio de la firma tiene que coincidir con el del remitente. Es lo que se llama alineaci\u00f3n. Tienes el detalle en autenticaci\u00f3n de correo<\/a>.<\/p>\n\n\n\n

\n

Env\u00eda emails autenticados con tu dominio<\/strong><\/p>\n\n\n\n

Configura DKIM, SPF y DMARC en Mailrelay y env\u00eda hasta 80.000 emails al mes gratis a 20.000 contactos.<\/p>\n\n\n\n

\n
Crear cuenta gratis<\/a><\/div>\n<\/div>\n<\/div><\/div>\n\n\n\n

C\u00f3mo configurar DKIM paso a paso<\/h2>\n\n\n\n

La configuraci\u00f3n se hace en el DNS de tu dominio y lleva cuatro pasos. No necesitas tocar tu servidor de correo.<\/p>\n\n\n\n

1. Consigue los datos de tu proveedor de env\u00edo<\/h3>\n\n\n\n

Cada plataforma te da el selector y el valor del registro, o un CNAME que apunta a \u00e9l. Usa siempre los datos de tu proveedor:<\/strong> no copies los de otro.<\/p>\n\n\n\n

2. Crea el registro en tu DNS<\/h3>\n\n\n\n

Entra en el panel de tu dominio y a\u00f1ade el TXT o el CNAME con el nombre exacto. Si usas Cloudflare, deja el CNAME en modo \u00abSolo DNS\u00bb, sin el proxy activado.<\/p>\n\n\n\n

3. Espera a que se propague<\/h3>\n\n\n\n

Los cambios de DNS pueden tardar desde unos minutos hasta 48 horas.<\/p>\n\n\n\n

4. Comprueba que funciona<\/h3>\n\n\n\n

Env\u00edate un correo a Gmail y abre el men\u00fa \u00abMostrar original\u00bb. Tienes que ver DKIM: PASS<\/strong> con tu dominio. Tambi\u00e9n puedes usar herramientas como MXToolbox o mail-tester.<\/p>\n\n\n\n

Errores frecuentes al configurarlo<\/h2>\n\n\n\n

El error m\u00e1s habitual es un selector mal escrito.<\/strong> Si el nombre del registro no coincide con el que usa la firma, el receptor no lo encuentra.<\/p>\n\n\n\n

Otros fallos comunes:<\/p>\n\n\n\n