Verificador de sintaxis DKIM

Comprender la sintaxis de un registro DKIM

DomainKeys Identified Mail (DKIM) añade una firma digital a los mensajes salientes para que el destinatario pueda comprobar que proceden realmente de tu infraestructura. La clave pública que permite la verificación se publica en un registro TXT. En esta página describimos cómo se interpreta su sintaxis y cómo el comprobador aprovecha los campos devueltos por la API.

¿Qué contiene un registro TXT DKIM?

Un registro DKIM es una lista de etiquetas separadas por punto y coma. Cada etiqueta tiene un nombre corto, un signo igual y una valoración. El validador elimina espacios sobrantes, ignora el orden y acepta líneas plegadas siempre que la sintaxis siga siendo coherente.

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...

Etiquetas obligatorias que debes publicar

• v - el indicador de versión. DKIM1 es la única versión admitida actualmente.
• k - el tipo de clave. RSA (rsa) continúa siendo el estándar de facto. Ed25519 (ed25519) aparece de forma gradual.
• p - la clave pública codificada en base64. Elimina comillas y espacios antes de publicarla.

Si falta alguna de estas etiquetas, está vacía o tiene formato incorrecto, la firma no podrá validarse. La herramienta señala el problema concreto para que regeneres la clave o corrijas la entrada DNS.

Etiquetas opcionales para ajustar el comportamiento

• h limita los algoritmos hash con los que se validará la firma (sha256 es la recomendada, sha1 está obsoleta).
• t activa indicadores como y (modo prueba) o s (coincidencia estricta con el selector).
• s define los servicios para los que es válida la clave. En blanco, se limita al correo electrónico.
• g restringe la clave a un usuario o subdirección concretos cuando hace falta.
• n permite dejar notas operativas o de diagnóstico.

Puedes omitir estas etiquetas si aceptas los valores por defecto. El comprobador las mostrará igualmente en el bloque «Detalles del registro» cuando estén presentes, para verificar qué devolverá el DNS.

Errores sintácticos habituales que detecta el validador

1. Valores copiados con comillas del proveedor DNS. Quita las comillas y los saltos de línea antes de validar.
2. Comillas tipográficas o punto y coma duplicados. El analizador espera comillas ASCII y un único ; entre etiquetas.
3. Etiquetas vacías o con espacios. Se consideran vacías y generan advertencias o errores según el campo.
4. Mezclar versiones o tipos de clave. Mantén v=DKIM1 y un solo tipo de clave por registro.
5. Claves públicas truncadas. Comprueba que el bloque base64 no se cortó al copiar o por límites de longitud.

Cada diagnóstico devuelto por la API se refleja en la insignia situada sobre los resultados. Los errores indican que el registro no es utilizable, mientras que las advertencias señalan configuraciones arriesgadas aunque válidas.

Buenas prácticas antes de publicar el registro

• Genera el par de claves en un servidor de confianza o en el proveedor de correo y protege bien la clave privada.
• Usa un selector corto y único para facilitar las rotaciones (selector2024._domainkey.example.com).
• Ajusta el TTL a tu política de rotación. Un TTL corto agiliza las revocaciones de emergencia; uno largo reduce el tráfico DNS cuando el registro es estable.
• Documenta quién gestiona el selector y cuándo se rotó por última vez.

Probar la cadena final en el verificador de sintaxis garantiza que el registro TXT se interpretará correctamente al publicarlo. Complementa la revisión con una consulta DNS para confirmar la propagación y con informes DMARC para seguir la calidad de las firmas a largo plazo.