Inspector de registros DKIM

Cómo aprovechar al máximo el inspector DKIM

Reúna el selector y el dominio From antes de lanzar el análisis. La herramienta los transforma en selector._domainkey.dominio y le permite elegir el resolvedor o el punto de acceso DNS-over-HTTPS.

Prepare los campos

Introduzca el selector exactamente como está publicado - las mayúsculas importan - y el dominio remitente sin sufijo _domainkey. El inspector los ensambla en {selector}._domainkey.{domain} antes de emitir la consulta.

Cambie de selector con confianza

Pruebe cada selector durante una rotación de claves o una investigación de entregabilidad. Alterne entre los resolvedores disponibles (públicos, personalizados o DoH) para verificar que el TXT está propagado en todas partes antes de actualizar su MTA.

Interprete los diagnósticos DKIM

Los errores señalan TXT ausente, sintaxis inválida o desajuste entre clave pública y política. Las advertencias destacan parámetros más débiles o modo de prueba. Use los detalles de resolvedor, latencia y DoH para distinguir configuración de propagación.

¿Por qué usar este inspector DKIM?

Verifique antes del envío que su clave pública DKIM está publicada correctamente.
La herramienta resuelve selector._domainkey.dominio, sigue cualquier CNAME, lee el TXT devuelto y destaca errores de sintaxis, claves demasiado cortas o revocadas y etiquetas inconsistentes. Ahorra tiempo y evita intentos fallidos en producción.

DKIM en resumen

DKIM firma el mensaje con una clave privada. El destinatario verifica la firma con la clave pública publicada en DNS. Esta clave reside en un registro TXT en selector._domainkey.dominio. Las etiquetas importantes son:

v=DKIM1 versión
k= tipo de clave rsa o ed25519
p= clave pública en Base64
t= indicadores de prueba y o restricción s
n= nota opcional
g= granularidad histórica rara vez usada
s= servicios opcional

Instrucciones

Introduzca el dominio y el selector a verificar.
Haga clic en Inspeccionar registro.
Lea el resumen y luego los detalles. Los errores bloquean la verificación del lado del destinatario. Las advertencias señalan riesgo o práctica a mejorar.
Corrija y ejecute otra verificación.

Lo que verifica el inspector

Resolución DNS

Existencia de selector._domainkey.dominio como TXT.
Cadena CNAME seguida hasta TXT final.
TTL legible y tamaño total de respuesta.

Sintaxis TXT

Presencia de v=DKIM1.
k= consistente rsa o ed25519.
p= no vacío y válido en Base64. p= vacío = clave revocada.
Etiquetas desconocidas o duplicadas informadas.
Cadenas fragmentadas aceptadas y reensambladas cuando la zona divide en segmentos de 255 caracteres.

Clave pública

Para RSA longitud mínima 1024 rechazada. Recomendado 2048. Aceptable 3072. 4096 posible pero cuidado con el tamaño DNS.
Para ed25519 formato compacto esperado.
Detección de caracteres prohibidos, espacios extraviados y comillas incorrectas.
Huella calculada para facilitar inventario.

Ayudas de diagnóstico

Presencia de un registro DMARC y recordatorio de alineación esperada.
Notas sobre la edad de la clave cuando el TTL y el historial lo sugieren.
Consejo de rotación cuando múltiples selectores activos son visibles.

Errores comunes

Selector mal escrito la clave no se puede encontrar.
p= vacío clave revocada por error.
Clave RSA 1024 probable rechazo por plataformas principales.
Caracteres no-Base64 copia-pega rota, comillas tipográficas.
Clave demasiado larga o TXT mal segmentado excediendo 255 caracteres por fragmento.
CNAME a un nombre que no publica TXT final.

Mejores prácticas

Publicar al menos dos selectores y rotar regularmente.
Preferir RSA 2048 o ed25519 según su ecosistema.
Mantener TXT limpio v k p y evitar etiquetas exóticas innecesarias.
Probar lectura DNS después de cada despliegue, luego enviar mensaje de prueba y leer encabezado Authentication-Results.
Documentar selector fecha tamaño de clave servicio emisor y persona responsable.

Solución rápida de problemas

Firma fallida pero clave publicada verificar selector usado por el remitente. El nombre del selector en el encabezado DKIM-Signature debe coincidir con el TXT.
Firma exitosa pero DMARC fallido revisar alineación entre From y dominio DKIM.
Algunos destinatarios ignoran la clave verificar que solo hay un TXT útil en el nombre final.