DKIM (DomainKeys Identified Mail) es un método de autenticación de correo. Añade una firma criptográfica a la cabecera de cada email.
El servidor que recibe el mensaje verifica esa firma con una clave pública. Esa clave está publicada en el DNS del dominio remitente. Si la firma es válida, quedan probadas dos cosas:
- El correo procede del dominio legítimo.
- Su contenido no fue alterado en el camino.
DKIM está definido en el RFC 6376, publicado en 2011 por el IETF.
Cómo funciona la firma
El servidor que envía el correo genera una firma con una clave privada y la incrusta en una cabecera del mensaje. Esa firma cubre el cuerpo del email y cabeceras seleccionadas, como remitente, asunto y fecha.
La clave pública correspondiente se publica como registro TXT en el DNS del dominio, bajo un selector concreto. Cuando el correo llega, el servidor receptor sigue tres pasos:
- Consulta ese registro DNS.
- Recupera la clave pública.
- Comprueba la firma.
Si algo en el mensaje cambió tras la firma, la verificación falla.
La clave privada nunca sale del servidor de envío. Solo la pública es visible. Por eso resulta inviable falsificar una firma DKIM sin acceso al servidor legítimo.
Por qué importa para la entregabilidad
DKIM es una de las tres capas que deciden si un correo llega a la bandeja de entrada o a spam. Junto a SPF y DMARC forma el trío estándar de autenticación de correo:
- SPF autoriza los servidores de envío.
- DKIM firma el contenido del mensaje.
- DMARC define qué hacer cuando algo falla.
Un dominio sin DKIM transmite a los grandes proveedores una señal de baja confianza. Eso aumenta la probabilidad de marcado como spam o de rechazo directo.
Cómo lo usamos en SMedialab
Configuramos DKIM por defecto en cada dominio que alojamos en nuestros VPS con panel Hestia. Al dar de alta el correo de un cliente seguimos estos pasos:
- Generamos su par de claves.
- Publicamos el registro TXT del selector en su zona DNS, que también gestionamos nosotros.
- Verificamos que la firma valida correctamente antes de poner el buzón en producción.
Administramos a la vez los dominios, el correo y los certificados de estos clientes. Por eso podemos coordinar DKIM con SPF y DMARC en una sola pasada, sin depender de proveedores externos ni de configuraciones a medias.
Esta configuración forma parte de nuestro alojamiento web gestionado, en concreto del hosting de correo y de la gestión de dominios y DNS, donde el registro DKIM vive como parte de la zona del dominio.
¿Tu correo acaba en spam o sospechas que suplantan tu dominio? Cuéntanoslo y revisamos tu autenticación de extremo a extremo.