Configurar DKIM para el correo de su empresa

Antes de cambiar una clave

Compruebe primero el estado actual de la firma y los registros DNS. Que falle la consulta de un selector habitual no demuestra que falte DKIM: el remitente puede usar otro nombre. Conserve los selectores que funcionan y los registros MX, SPF y DMARC. Un buzón receptor o un alias no identifica todos los servicios que envían su correo.

Google Workspace

1. Pida a su superadministrador que abra Aplicaciones → Google Workspace → Gmail → Autenticar correo electrónico y seleccione el dominio de envío exacto. Si la firma ya funciona, conserve la clave actual.
2. Para una configuración nueva, elija Generar nuevo registro y una clave de 2048 bits si su proveedor de DNS lo admite. Utilice un selector que no esté en uso. Copie el nombre y el valor TXT completos que muestra Google; no reutilice nunca la clave de otro dominio.
3. Publique exactamente ese registro TXT en su proveedor de DNS, siguiendo su formato de nombre de host para que no añada el dominio dos veces. Después, vuelva a Google Admin y elija Iniciar autenticación. Compruebe que el estado indica que se está autenticando el correo electrónico con DKIM.

Un servicio de Gmail recién activado puede necesitar entre 24 y 72 horas antes de generar la clave. El DNS y la autenticación pueden tardar hasta 48 horas. Puede que un proveedor ya haya creado el registro; compruébelo antes de añadir uno. Instrucciones de DKIM de Google

Microsoft 365

1. Su dominio personalizado ya debe estar añadido a Microsoft 365. En Microsoft Defender, abra Correo electrónico y colaboración → Directivas y reglas → Directivas de amenazas → Configuración de autenticación de correo electrónico → DKIM y seleccione ese dominio.
2. Si el dominio muestra NoDKIMKeys, active la firma para generar las instrucciones de su clave. El error inicial de CNAME es normal hasta que el DNS esté listo; ciérrelo, abra los detalles del dominio y busque Publicar CNAME. Copie los dos destinos exactos para selector1._domainkey y selector2._domainkey.
3. Publique los dos registros CNAME, conservando los registros no relacionados. Utilice los valores de destino que devuelve su inquilino: Microsoft asigna parte de cada nombre, por lo que no sirven los ejemplos ni los valores deducidos de los registros MX. Mantenga un TTL de al menos 3600 segundos.
4. Cuando Microsoft detecte los CNAME, active la firma de los mensajes de este dominio con DKIM y confirme que el estado indica que se están aplicando firmas DKIM para este dominio. La detección puede tardar varios minutos o más.

Configuración y resolución de problemas de DKIM de Microsoft

Verifique un mensaje enviado después de la activación

Tras la propagación del DNS y la activación, envíe un mensaje desde cada servicio y cada dirección de remitente (From) a un buzón externo independiente que usted controle, con permiso para enviar la prueba. Otro alias del mismo buzón no basta; el correo interno puede seguir otra ruta de firma.

• Abra las cabeceras originales del mensaje recibido. En DKIM-Signature, d= identifica el dominio que firma y s= el selector real.
• Busque dkim=pass en Authentication-Results del servicio receptor. Compruebe que el dominio de la firma válida está alineado con el dominio visible del remitente (From) según su política DMARC. Un resultado pass solo para el dominio propio del proveedor no es suficiente.
• Guarde el mensaje y la hora de observación en privado. El correo anterior solo sirve como referencia de partida. Una clave publicada por sí sola no demuestra que la firma esté activa ni la entrega en la bandeja de entrada.

Configurar DMARC para Google Workspace