Ivona Mikulčić28 de septiembre de 20267 min de lectura
Registros DKIM: mejora la autenticación y entregabilidad de tus emails
Qué es un registro DKIM
Un registro DKIM es una entrada DNS de tipo TXT que almacena una clave pública. Permite a los servidores de email confirmar que un mensaje realmente proviene del dominio que dice ser y que no fue alterado en el camino. Funciona junto con SPF y DMARC como uno de los tres pilares de la autenticación de email. Juntos, son lo que impide que los spammers suplanten tu dominio y lo que determina si tus emails llegan a la bandeja de entrada o a la carpeta de spam.
Antes de seguir, algunos términos que vale la pena conocer:
Registro DKIM: la entrada DNS de tipo TXT que contiene la clave pública que buscan los servidores receptores
Firma DKIM: el encabezado criptográfico adjunto a cada email saliente, generado con una clave privada
Selector: una etiqueta que dirige a los servidores receptores hacia la clave pública correcta en tu DNS
El registro y la firma suelen confundirse, pero no son lo mismo. El registro está alojado en tu DNS. La firma viaja con cada email que envías.
Cómo funciona la autenticación de email con DKIM
DKIM funciona con un par de claves criptográficas, una privada y una pública. Así trabajan juntas, en orden.
La clave privada y la firma digital
Cuando tu servidor de email envía un mensaje, genera una firma digital única usando una clave privada y la adjunta como un encabezado oculto llamado DKIM-Signature. Esa firma normalmente cubre los encabezados y el cuerpo del mensaje. La clave privada nunca sale de tu servidor, y ese es exactamente el punto.
La clave pública y la consulta DNS
El servidor receptor lee los valores s= (selector) y d= (dominio) del encabezado de la firma, y luego consulta el DNS para encontrar la clave pública correspondiente. Aquí es donde entra tu registro DKIM. Sin él, el servidor receptor no tiene nada contra qué verificar.
La verificación y el chequeo de autenticación
La clave pública descifra la firma y el servidor la compara con una versión recién calculada del mensaje. Si coinciden, DKIM pasa. Si cambió aunque sea un carácter en tránsito, falla, y esa falla queda registrada para los reportes de DMARC.
Sintaxis y ejemplo de un registro DKIM
Un registro DKIM tiene dos partes: el nombre del registro y el contenido del registro. Una vez que conoces el patrón, detectar uno roto se vuelve mucho más fácil.
Etiqueta | Valor de ejemplo | Qué hace |
|---|---|---|
|
| Marca el registro como DKIM (siempre |
|
| El algoritmo de encriptación usado |
|
| La clave pública codificada en base64 |
Nombre del registro y formato del selector
Los registros DKIM no se alojan bajo tu nombre de dominio simple. Siguen este formato:
selector._domainkey.tudominio.com
Entonces, un selector de google en acme.com se convierte en google._domainkey.acme.com.
Contenido del registro y clave pública
El valor sigue un formato de etiqueta-valor. v=DKIM1 le dice al servidor que es un registro DKIM, y todo lo que viene después de p= es la clave pública en sí. Si p= está vacío, la clave fue revocada a propósito y el registro está efectivamente desactivado.
Tipo de registro y TTL
Técnicamente, un registro DKIM es solo un registro DNS de tipo TXT, el mismo tipo que se usa para almacenar todo tipo de texto relacionado con el dominio. La mayoría de los proveedores de DNS usan un TTL predeterminado de 3600 segundos (una hora), y eso suele ser suficiente para DKIM.
Qué es un selector DKIM y cómo encontrar el tuyo
Los selectores existen porque un dominio suele enviar emails a través de varios servicios, y cada uno necesita su propia clave. Por eso es común ver múltiples registros DKIM bajo un solo dominio, uno por cada fuente de envío.
Dónde encontrar tu selector en los encabezados del email
Envíate un email de prueba a una cuenta de Gmail, ábrelo y selecciona "Mostrar original". Busca dkim=pass en el encabezado Authentication-Results, o revisa el encabezado DKIM-Signature directamente para encontrar la etiqueta s=. Ese valor es tu selector.
Selectores comunes por proveedor de email
No siempre necesitas buscar en los encabezados. La mayoría de los proveedores usan un selector predeterminado conocido:
Google Workspace:
googleMicrosoft 365:
selector1,selector2Mailchimp:
k1SendGrid:
s1,s2
Si usas una herramienta de outreach como lemlist junto con tu proveedor principal, normalmente también publica su propio selector.
Cómo configurar un registro DKIM paso a paso
Los pasos exactos pueden variar un poco según el proveedor, pero el proceso general es este.
Haz una lista de cada dominio y servicio que envía en tu nombre, incluyendo tu proveedor de email, CRM y cualquier herramienta de outreach.
Genera un par de claves DKIM. La mayoría de los proveedores lo hacen por ti desde su consola de administración.
Crea el registro DNS usando el formato de nombres descrito arriba, y luego pega la clave pública.
Agrega el registro a través de tu proveedor de DNS (Cloudflare, GoDaddy, Namecheap y similares).
Activa la firma DKIM en tu servidor. Algunos proveedores la activan automáticamente una vez que el registro se verifica; otros requieren activación manual.
Prueba la configuración con un email real y un verificador de DKIM.
La propagación y la activación de la firma pueden tomar algo de tiempo, así que no te alarmes si no pasa en el primer intento.
Consejo: la configuración de entregabilidad de lemlist configura DKIM, SPF y DMARC automáticamente cuando conectas o compras un dominio de envío, así que el trabajo manual de DNS descrito arriba se vuelve opcional.
Registros TXT vs. CNAME para DKIM
No todos los proveedores piden el mismo tipo de registro, y la diferencia se reduce a quién controla la clave.
Cuándo usar un registro TXT
Un registro TXT almacena la clave pública completa directamente en tu DNS, y tú controlas cuándo cambia. Este es el enfoque estándar, y es lo que describe la especificación oficial de DKIM.
Cuándo usar un registro CNAME
Microsoft 365, por ejemplo, usa registros CNAME que apuntan a la propia infraestructura DKIM de Microsoft. Eso delega la gestión de claves al proveedor, permitiéndole rotar claves sin que tengas que tocar el DNS. SendGrid sigue un modelo similar. Ambos enfoques funcionan, así que vale la pena verificar qué recomienda tu proveedor antes de asumir que TXT es la única opción.
Cómo verificar y comprobar tu registro DKIM
Una vez que el registro está activo, confirmar que realmente funciona solo requiere tu nombre de dominio y selector. Herramientas gratuitas como MxToolbox, EasyDMARC o Google Admin Toolbox se encargan de la consulta por ti.
Pasa: la herramienta devuelve la clave pública y confirma el formato correcto
Falla: registro no encontrado, error de sintaxis o selector que no coincide
Hacer esta verificación una vez después de la configuración es útil. Pero hacerlo manualmente en cada buzón se vuelve tedioso rápido, y ahí es donde entra el panel de entregabilidad de lemlist. Monitorea DKIM y otros registros de autenticación en todos tus dominios de envío desde un solo dashboard.
Errores comunes en registros DKIM y cómo corregirlos
La mayoría de las fallas de DKIM se deben a un puñado de errores predecibles.
Selector o nombre de registro incorrecto
Un error tipográfico en el selector, o un ._domainkey. faltante en el hostname, hace que el registro sea invisible para los servidores receptores. Vale la pena comparar el nombre completo del registro con las instrucciones de tu proveedor, carácter por carácter.
Clave pública faltante o mal formada
Las claves más largas a veces se dividen en múltiples cadenas, y si tu proveedor de DNS trunca el valor en el proceso, la clave se rompe de forma silenciosa. Verificar que la cadena base64 completa esté intacta puede ahorrarte mucha confusión después.
Usar un tamaño de clave débil
Las claves de 1024 bits fueron el estándar durante años, pero ahora se consideran marginales frente al criptoanálisis moderno. Google, Microsoft, Yahoo y Amazon SES han orientado sus recomendaciones hacia 2048 bits como mínimo.
Olvidar activar la firma DKIM en el servidor
El registro DNS solo le dice a los servidores receptores dónde buscar. Si tu servidor de envío no está adjuntando una firma a los emails salientes, el registro no hace nada por sí solo, y es un paso fácil de pasar por alto con herramientas de terceros.
Cómo funciona DKIM junto con SPF y DMARC
DKIM rara vez funciona solo. Es una capa dentro de un sistema de autenticación de tres partes:
SPF: confirma que la IP del servidor de envío está autorizada por el DNS del dominio
DKIM: confirma que el mensaje no fue alterado y que la firma coincide con la clave pública del dominio
DMARC: le indica a los servidores receptores qué hacer cuando SPF o DKIM falla, y requiere que al menos uno pase con alineación de dominio
Las firmas DKIM también sobreviven al reenvío de emails, cosa que SPF muchas veces no logra, lo que hace de DKIM la pieza más resistente para la alineación DMARC. Por eso, tener ambos configurados en lugar de depender de uno solo te da la protección más sólida.
Por qué DKIM es clave para la entregabilidad del email en frío
Para cualquiera que gestione campañas de outbound, DKIM ya no es opcional. Google y Yahoo ahora exigen que los remitentes masivos se autentiquen con SPF y DKIM, además de tener un registro DMARC configurado, y los emails que no cumplen enfrentan rechazo. Más allá del cumplimiento, DKIM también influye en cómo los ISP construyen la reputación de dominio con el tiempo, junto con tasas bajas de quejas de spam y un engagement saludable.
Pero la configuración correcta es solo el punto de partida. La autenticación necesita monitoreo, y los dominios nuevos aún necesitan calentamiento gradual. El panel de entregabilidad de lemlist te da monitoreo de DKIM por buzón con alertas cuando algo falla, y cada cuenta incluye lemwarm, que construye la reputación como remitente sobre un dominio correctamente autenticado intercambiando emails reales a un ritmo controlado.
Comienza una prueba gratis de 14 días y obtén DKIM, SPF y DMARC configurados automáticamente, con monitoreo de entregabilidad incluido en cada buzón.
Convert strategy into pipeline
Launch your first outbound campaign with verified leads, AI sequences, and multichannel outreach from one platform.