Comprobar DKIM: las claves con las que un dominio firma su correo
DKIM permite a un dominio firmar su correo con una clave publicada en el DNS, para que los servidores comprueben que un mensaje viene de ese dominio y no se ha alterado. Cada clave está bajo un nombre llamado selector. Escribe un dominio y, si lo sabes, el selector; sin él probamos 33 selectores habituales.
El selector es el valor «s=» de la cabecera «DKIM-Signature» de un email enviado por ese dominio. Déjalo vacío para probar los habituales.
Cómo encontrar el selector
- Abre un email enviado por ese dominio y muestra el original o las cabeceras (en Gmail: los tres puntos y «Mostrar original»).
- Busca la cabecera «DKIM-Signature»: «d=» es el dominio y «s=» es el selector, por ejemplo s=selector1.
- Escribe el dominio y el selector y pulsa «Comprobar DKIM». Sin selector probamos 33 habituales, como default, google, selector1 o k1.
Qué significa cada resultado
- El dominio firma su correo con DKIM
- Hemos encontrado su clave pública: los servidores pueden comprobar que sus mensajes vienen de este dominio y no se han alterado por el camino.
- Hay claves DKIM, con avisos
- Hemos encontrado al menos una clave, pero alguna está retirada, en pruebas o es demasiado débil. Tienes los detalles debajo de cada clave.
- No hay ninguna clave DKIM en los selectores habituales
- Eso no demuestra que el dominio no use DKIM: puede usar otro selector. Lo encontrarás en la cabecera «DKIM-Signature: s=» de un email que te haya enviado. Escríbelo en «Selector» y vuelve a comprobar.
- No hay ninguna clave DKIM en ese selector
- Revisa cómo está escrito: el selector es el valor «s=» de la cabecera «DKIM-Signature», y el dominio es su valor «d=».
Qué significa cada señal
- La clave está vacía (p=): este selector está retirado y ya no firma correo.
- La clave está en modo de pruebas (t=y): el dominio pide que no se actúe si la firma falla.
- La clave RSA tiene menos de 1024 bits: se puede romper y muchos servidores no la aceptan.
- La clave RSA tiene 1024 bits: aún se acepta, pero se recomiendan 2048.
- La clave solo admite SHA-1, un algoritmo antiguo que ya no se considera seguro.
- El registro de la clave tiene un error y no se puede leer.
- El tipo de clave no es RSA ni Ed25519, así que los servidores no pueden usarla.
- No hay ninguna clave en los selectores que hemos probado.
Herramientas relacionadas
Qué países cubre
Funciona con dominios de cualquier país. Sin selector probamos los de los grandes proveedores (Google, Microsoft 365, Zoho, Proton, Fastmail, Mailchimp y otros) y los nombres genéricos habituales, 33 en total. Las claves se leen como lo hacen los servidores de correo (RFC 6376): RSA y Ed25519.
Leemos los registros DNS públicos del dominio. Si escribes una dirección de email o un enlace, solo sale de tu navegador su dominio. No guardamos el dominio que consultas.
Preguntas frecuentes
¿Qué es DKIM?
DomainKeys Identified Mail: el servidor que envía firma cada email con una clave privada y el dominio publica la clave pública en el DNS. El servidor que lo recibe comprueba la firma: si cuadra, el email viene de ese dominio y no se ha cambiado por el camino.
¿Qué es un selector?
El nombre bajo el que se publica una clave, en selector._domainkey.ejemplo.com. Un dominio puede tener varios, uno por proveedor o por cada cambio de clave. Aparece como «s=» en la cabecera «DKIM-Signature» de cada email.
¿Por qué no encuentra ninguna clave si el dominio usa DKIM?
Los selectores pueden tener cualquier nombre y el DNS no permite listarlos. Probamos 33 habituales; si el dominio usa otro, escríbelo en «Selector». Por eso «no encontrada» no demuestra que no haya DKIM.
¿Qué significan 1024 y 2048 bits?
El tamaño de la clave RSA: cuanto más larga, más difícil de romper. 1024 bits aún se acepta, pero lo recomendado son 2048. Por debajo de 1024, muchos servidores ignoran la firma.