Introduce un dominio y un selector DKIM para consultar el registro TXT de clave pública publicado en <selector>._domainkey.<domain> y leer sus etiquetas. Es gratis, funciona al instante en tu navegador sobre DNS-over-HTTPS, sin registro y sin guardar nada.
Crea una cuenta gratuita de Unspam para guardar tus resultados y repetir estas comprobaciones cuando quieras, así detectas una configuración rota antes de que te cueste caro. Sin tarjeta de crédito.
DKIM (DomainKeys Identified Mail) permite que un servidor de envío adjunte una firma criptográfica a cada mensaje. La clave pública correspondiente se publica en DNS como un registro TXT en <selector>._domainkey.<domain>, donde el selector es una etiqueta que elige el remitente para poder usar varias claves a la vez. El servidor receptor lee el selector en la cabecera DKIM-Signature del mensaje, obtiene esa clave pública y verifica la firma para confirmar que el mensaje no se alteró en tránsito y que procede realmente del dominio firmante. Una firma DKIM válida es también una de las formas en que un mensaje puede alinearse con DMARC y superarlo. Proveedores de correo como Gmail y Yahoo esperan que los remitentes masivos se autentiquen con DKIM, así que tener un registro publicado y correcto forma parte de llegar a la bandeja de entrada.
DKIM se publica por selector, no por dominio, así que tienes que indicar uno. Búscalo en un mensaje que hayas recibido del dominio: abre las cabeceras en crudo y lee la etiqueta s= dentro de la línea DKIM-Signature. Si no puedes ver ninguna cabecera, prueba con selectores habituales como google (Google Workspace), selector1 y selector2 (Microsoft 365), k1 (Mailgun), s1 y s2 (SendGrid), k1, k2 y k3 (Mailchimp), default o dkim.
La etiqueta de versión. Debe indicar v=DKIM1 y, cuando aparece, tiene que ser la primera etiqueta del registro. Cualquier otra cosa significa que el registro no es un registro de clave DKIM válido.
El tipo de clave. La mayoría de los registros usan k=rsa; algunas configuraciones modernas usan k=ed25519. Si se omite k=, el valor por defecto es rsa, así que es normal que falte la etiqueta k.
La clave pública codificada en base64. Es el núcleo del registro y debe ser una sola cadena continua, sin espacios ni saltos de línea. RFC 8301 fija un mínimo de 1024 bits para RSA, y hoy lo recomendado son 2048 bits.
Si el registro existe pero p= está vacía (p=), la clave se ha revocado de forma deliberada según RFC 6376. No es lo mismo que no tener ningún registro: una p= vacía indica a los comprobadores que traten como no válida cualquier firma que use ese selector.
La consulta no devuelve nada porque el selector es incorrecto o la clave nunca se publicó. Confirma el selector exacto en la etiqueta s= de una cabecera DKIM-Signature real y vuelve a comprobarlo. Cada selector es independiente, así que la clave correcta puede estar bajo otro selector.
El registro existe, pero el valor de p= está en blanco, algo que RFC 6376 define como clave revocada. Los servidores receptores darán por no válida cualquier firma realizada con ese selector. Vuelve a publicar el registro con la clave pública actual, o apunta tu plataforma de envío a un selector que aún tenga un valor de p= válido.
El valor de p= se pegó repartido en varias cadenas o tiene espacios y saltos de línea sueltos, así que los comprobadores reconstruyen una clave equivocada. Publica la clave base64 como un único valor continuo. Si tu proveedor de DNS divide los registros TXT largos en fragmentos entre comillas, no pasa nada siempre que ningún espacio en blanco caiga dentro de la propia clave.
Si el registro no empieza por v=DKIM1, los analizadores pueden rechazarlo. Asegúrate de que la etiqueta de versión esté presente y aparezca la primera, con las etiquetas separadas por punto y coma.
Una clave RSA de 1024 bits cumple el mínimo antiguo, pero hoy lo recomendado son 2048 bits, y una etiqueta t=y marca el dominio como en pruebas, por lo que los receptores pueden ignorar los fallos. Para el correo en producción, usa una clave de 2048 bits y elimina t=y en cuanto hayas confirmado que la firma funciona.
