Ficha técnica · 6 min
DKIM: la firma que sobrevive al reenvío
Qué firma DKIM, cómo se publica el selector y por qué un SPF correcto no sustituye a la firma.
DKIM firma partes del mensaje con una clave privada. El receptor obtiene la pública en el DNS del selector y comprueba que el cuerpo y las cabeceras firmadas no han cambiado. A diferencia del SPF, la firma puede seguir siendo válida cuando alguien reenvía el mensaje y cambia la IP de origen.
Selector y DNS
La pública vive en selector._domainkey.tudominio. El selector es un nombre que eliges —relay2026, google, s1—. Puedes tener varios a la vez, y debes tenerlos durante una rotación: se publica el nuevo, se firma con él, se espera, se retira el viejo.
Una clave de 2048 bits es el suelo razonable. El TXT tiene que publicarse entero; algunos paneles lo cortan y la firma nunca valida.
Qué no firma DKIM
No demuestra que el autor sea quien dice el nombre visible si el dominio de la firma no es el del From. Esa coincidencia la exige DMARC, no DKIM. Tampoco impide que un buzón legítimo, ya comprometido, firme spam perfectamente válido. La firma autentica el dominio, no la intención.
Operación
Firma en el relay, no en cada aplicación. Si cada SaaS firma con su selector, inventaríalos. Si solo firmas a veces, DMARC en reject castigará la parte que no firma.