Configurar DKIM

Como administrador, puedes configurar DKIM (también llamada "firma DKIM") para autenticar tu correo y proteger tu dominio frente al spoofing.

Sin DKIM, es más probable que los servidores que reciben correo marquen como spam los mensajes que se envían desde tu organización o dominio.

En esta página

• ¿Cómo funciona DKIM?
• Si usas pasarelas de correo de salida
• Paso 1: Comprueba si DKIM ya está configurado
• Paso 2: Genera un par de claves DKIM
• Paso 3: Añade la clave DKIM a tu dominio
• Paso 4: Activa y verifica DKIM
• Pasos siguientes
• Temas relacionados

¿Cómo funciona DKIM?

Para configurar DKIM, genera un par de claves DKIM para tu dominio:

• Una clave pública que se almacena en el registro TXT de DNS de tu dominio para DKIM. Esta es la clave que debes añadir a tu dominio.
• Una clave privada que se sube a tu servidor de correo. Esta clave genera y añade una firma DKIM a todos tus correos salientes.

	Servidor de correo del remitente con una clave privada.
	Registro TXT de DKIM del remitente con una clave pública.
	La clave privada del remitente añade una firma DKIM al encabezado del correo saliente.
	El correo se envía al dominio del destinatario.
	El servidor de correo del destinatario obtiene la clave pública del registro TXT de DKIM y utiliza la clave para leer la firma DKIM y autenticar el correo.

Si utilizas pasarelas de correo saliente

Las pasarelas de salida pueden estar configuradas de forma que modifiquen los mensajes salientes. Por ejemplo, algunas pasarelas de salida añaden un pie de página en la parte inferior de todos los mensajes salientes. Esto hace que los mensajes no superen las comprobaciones de DKIM porque su contenido ha cambiado después de haberlos enviado.

Asegúrate de que la configuración de la pasarela de salida no interfiera con DKIM. Antes de configurar DKIM, configura la pasarela para que no modifique los mensajes salientes o para que primero cambie el contenido de los mensajes. Consulta el artículo Configurar una pasarela de salida para procesar el correo saliente.

Paso 1: Comprueba si DKIM ya está configurado

La forma de realizar esta comprobación depende de si usas Google Workspace: 

• Si estás usando Google Workspace, sigue las instrucciones de esta sección. 
• Si no usas Google Workspace, consulta con tu proveedor de correo o con tu proveedor de Internet (si el dominio que envía los correos es el de tu proveedor de Internet). Si gestionas tu propio correo, usa una de las herramientas disponibles en Internet.

1. Inicia sesión en la consola de administración de Google.

   Inicia sesión con una cuenta que tenga privilegios de superadministrador (y que no termine en @gmail.com).

2. Ve a la Caja de herramientas de Google Admin.
3. Escribe el dominio en el campo Nombre del dominio.

   Nota: En algunos casos, es posible que tengas que introducir el selector de prefijo DKIM, que identifica de forma única la clave DKIM. El valor predeterminado es google.

4. Haz clic en Hacer comprobaciones.
5. Cuando termine la prueba, busca uno de estos mensajes:

• Configuración de DNS de autenticación DKIM: se configura una clave DKIM para el dominio y el selector. Te recomendamos que también configures DMARC.
• No se ha configurado DKIM: en tu dominio no hay ninguna clave DKIM con el selector de prefijos que has introducido. Configura una nueva clave con el selector proporcionado. Continúa con Genera un par de claves DKIM.

Paso 2: Genera un par de claves DKIM

• Si estás usando Google Workspace, sigue las instrucciones de esta sección. 
• Si no utilizas Google Workspace, utiliza una herramienta disponible en Internet para hacer lo siguiente:
  • Busca el selector de prefijos DKIM. Puedes enviar un correo de prueba a tu bandeja de entrada, ver el origen del mensaje y buscar el valor s en el encabezado DKIM-Signature.
  • Especifica el nombre de tu dominio, la longitud de la clave y el selector de prefijo DKIM para generar un par de claves DKIM.
  • Guarda la clave privada en la configuración de tu servidor de correo y añade la clave pública a tu dominio.

Generate a DKIM key for your domain

Para hacer esta tarea, tienes que haber iniciado sesión como superadministrador.

Importante: En Google Workspace, una vez que hayas activado Gmail en tu organización, deberás esperar entre 24 y 72 horas para poder obtener tu clave DKIM en la consola de administración. Si intentas generar una clave antes de ese momento, es posible que aparezca un mensaje de error indicando que no se ha creado el registro DKIM.

1. Inicia sesión en la consola de administración de Google.

   Utiliza tu cuenta de administrador (no termina en @gmail.com).

2. En la consola de administración, ve a Menú  AplicacionesGoogle WorkspaceGmail.
3. Haz clic en Autenticar el correo electrónico.
4. En el menú Dominio seleccionado, elige el dominio en el que quieres configurar DKIM.
5. Haz clic en el botón Generar registro.
6. En el cuadro Generar registro, selecciona la configuración de la clave DKIM:
   • Opciones de longitud de bits de la clave DKIM:
     • 2048: si el proveedor de tu dominio admite claves de 2048 bits, selecciona esta opción. Las claves largas son más seguras que las cortas. Si hasta ahora usabas una clave de 1024 bits, puedes cambiarla por una de 2048 bits si el proveedor de tu dominio las admite.
     • 1024: si el host de tu dominio no admite claves de 2048 bits, selecciona esta opción.
   • Opciones del selector de prefijos:
     • El selector de prefijos predeterminado es google. Si usas Google Workspace, esta es la opción recomendada.
     • Si en tu dominio ya se usa una clave DKIM con el prefijo google, introduce otro prefijo en este campo. Más información sobre los selectores DKIM
7. Haz clic en Generar. En la página Autenticar correo electrónico, se actualiza el valor del registro TXT y se muestra este mensaje: Configuración de autenticación DKIM actualizada.

   Importante: La página Autenticar el correo electrónico de la consola de administración de Google puede seguir mostrando el mensaje Debes actualizar los registros DNS de este dominio durante un máximo de 48 horas. Si has añadido correctamente la clave DKIM al proveedor de tu dominio, puedes ignorar el mensaje.

8. Copia los valores de DKIM que se muestran en la ventana Autenticar el correo electrónico. En el paso siguiente, los añadirás al proveedor de tu dominio:

   			Nombre del host DNS (nombre del registro TXT): este texto es el nombre del registro TXT de DKIM que añadirás a los registros DNS del proveedor de tu dominio. Introduce este nombre en el campo Host.
   			Valor del registro TXT: este texto es la clave DKIM. Deberás añadirlo a tu registro TXT de DKIM. Introduce la clave en el campo Valor de TXT.

Paso 3: Añade la clave DKIM a tu dominio

Una vez que hayas generado el par de claves DKIM, añade la clave pública de DKIM a tu dominio creando un registro TXT de DKIM.

Paso 4: Activa y verifica DKIM

• Si estás usando Google Workspace, sigue las instrucciones de esta sección. 
• Si no usas Google Workspace, utiliza una de las herramientas disponibles en Internet.

1. Inicia sesión en la consola de administración de Google.

   Utiliza tu cuenta de administrador (no termina en @gmail.com).

2. En la consola de administración, ve a Menú  AplicacionesGoogle WorkspaceGmail.
3. Haz clic en Autenticar el correo electrónico.
4. En el menú Dominio seleccionado, selecciona el dominio en el que quieres activar DKIM. 
5. Haz clic en Iniciar autenticación. Cuando la configuración de DKIM se haya completado y esté operativa, en la parte superior de la página se mostrará el siguiente estado: Se está autenticando el correo electrónico con DKIM.
6. Envía un mensaje de correo a alguien que use Gmail o Google Workspace. No puedes verificar que DKIM está activado enviándote un mensaje a ti mismo.
7. Abre el mensaje en la bandeja de entrada del destinatario y busca su cabecera completa.

   Nota: Los pasos para ver la cabecera del mensaje varían en función de la aplicación de correo que uses. Para mostrar las cabeceras de los mensajes en Gmail, junto a Responder, haz clic en Más Mostrar original.

8. En la cabecera del mensaje, busca Authentication-Results. Los servicios de recepción usan diferentes formatos de cabeceras en los mensajes entrantes, pero en los resultados de DKIM se debería indicar algo como DKIM=pass o DKIM=pass.

   Si la cabecera no incluye ninguna línea sobre DKIM, los mensajes enviados desde tu dominio no están firmados con DKIM:

   • Comprueba que hayas completado todos los pasos de este artículo.
   • Consulta el artículo Solucionar problemas de DKIM.

Pasos siguientes

• Google te recomienda que también configures la autenticación DMARC en tu organización.
• Si no sabes si DKIM funciona o si los mensajes de tu dominio se envían a la carpeta de spam, consulta el artículo Solucionar problemas de DKIM.
• También puedes configurar BIMI para añadir el logotipo de tu organización a los mensajes salientes.

Temas relacionados

• Solucionar problemas de DKIM
• Desactivar DKIM
• Acerca de los registros TXT