¿Qué es un registro DKIM?
DKIM añade una firma criptográfica a tu correo saliente; los receptores la verifican contra una clave pública que publicas en el DNS en selector._domainkey.tu-dominio. Como el DNS no ofrece forma de listar los selectores, IPeek sondea los selectores usados por Google, Microsoft, Amazon SES y otros grandes proveedores.
Cómo funcionan la firma y la verificación DKIM
Cuando envías correo, tu proveedor firma cabeceras seleccionadas y el cuerpo con una clave privada, añadiendo una cabecera DKIM-Signature al mensaje. El receptor lee las etiquetas d= (dominio) y s= (selector) de esa cabecera, obtiene la clave pública correspondiente en selector._domainkey.d y verifica la firma. Si valida, el contenido no se alteró en tránsito y procede genuinamente de un titular de la clave para ese dominio. La clave privada permanece en el servidor de envío; solo la clave pública vive en el DNS.
Selectores y la clave pública en el DNS
Un selector permite que un mismo dominio publique varias claves DKIM, útil para la rotación o para distintos servicios de envío. La clave pública es un registro TXT en selector._domainkey.tu-dominio, como google._domainkey.example.com, que contiene v=DKIM1; k=rsa; p=<clave pública en base64>. Como el DNS no ofrece un directorio de selectores, no puedes simplemente preguntar cuáles usa un dominio. Por eso IPeek sondea los selectores habituales usados por Google (google), Microsoft, Amazon SES y otros grandes proveedores para localizar tus claves publicadas.
Cómo se relaciona DKIM con SPF y DMARC
DKIM es la capa de autenticación de contenido de las tres. Mientras SPF autoriza hosts de envío por IP, DKIM demuestra criptográficamente que las cabeceras y el cuerpo de un mensaje no se manipularon y lo vincula a un dominio firmante. DMARC comprueba después que el dominio firmante de DKIM se alinea con la dirección From visible. DKIM tiene una ventaja clave sobre SPF: como la firma viaja con el mensaje, sobrevive al reenvío, que a menudo rompe SPF. Para una entregabilidad sólida, publica DKIM y alinéalo bajo DMARC.