Cómo funciona la firma DKIM
DKIM (DomainKeys Identified Mail) añade una firma criptográfica a cada mensaje saliente. Tu servidor de correo firma ciertas cabeceras y el cuerpo con una clave privada; los receptores obtienen la clave pública correspondiente del DNS en selector._domainkey.tudominio.com y verifican la firma. Una firma válida demuestra que el mensaje no se alteró por el camino y que quien lo firmó controla tu DNS.
El registro DNS contiene tres etiquetas: la versión, el tipo de clave y la clave pública en base64.
io1._domainkey.yourdomain.com. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."Quién necesita generar sus propias claves
Los proveedores de buzones alojados generan y gestionan las claves DKIM por ti. En Google Workspace lo activas en Aplicaciones, Gmail, Autenticar correo electrónico; en Microsoft 365, en Defender, Autenticación de correo, DKIM. Este generador solo te hace falta cuando controlas tú mismo el lado de la firma.
- SMTP autoalojado con Postfix y OpenDKIM o rspamd, Exim, Haraka o similares.
- Amazon SES con Bring Your Own DKIM, que acepta una clave privada que tú aportas.
- Cualquier proveedor transaccional que permita subir una clave propia en lugar de un CNAME.
- Pruebas y entornos de laboratorio donde quieres una clave desechable sin instalar OpenSSL.
Claves de 2048 bits y la división en 255 caracteres
Gmail, Yahoo y Microsoft recomiendan claves de 2048 bits, y las de 1024 bits se consideran débiles. La contrapartida es la longitud: una clave pública de 2048 bits produce un valor TXT de más de 400 caracteres, mientras que una sola cadena TXT del DNS está limitada a 255. La mayoría de proveedores de DNS dividen el valor en varias cadenas entrecomilladas automáticamente. Si el tuyo lo rechaza, usa la forma dividida que muestra la herramienta, que los resolutores vuelven a unir al consultarla.
Algunos paneles de DNS antiguos tienen un límite estricto en el que solo caben claves de 1024 bits. Mover el DNS a un proveedor moderno es mejor solución que rebajar la clave.
Instalar la clave privada y rotarla más adelante
Guarda el archivo PEM en el servidor de envío con permisos restringidos al demonio de correo, y apunta tu software de firma hacia él con el mismo selector y dominio usados en el DNS. Envía una prueba a una dirección de Gmail e inspecciona las cabeceras buscando dkim=pass y que el valor d= coincida con tu dominio. Después confirma el registro con el verificador de DKIM.
Rota las claves periódicamente generando un par nuevo con un selector nuevo, publicándolo, cambiando el servidor y solo entonces borrando el registro antiguo. Quien haga correo en frío y prefiera no gestionar servidores puede dejar que InboxOne aprovisione buzones con DKIM, SPF y DMARC ya configurados.
