DKIM: cómo comprobar que una plataforma firma con tu dominio

Prepara una prueba que represente el envío real

Selecciona la cuenta y el dominio que se usarán en producción. Si hay varias marcas, subdominios o tipos de envío, prepara una muestra por circuito. Un botón de prueba de una plataforma puede utilizar una ruta distinta: confirma qué has probado.

Usa un destinatario externo autorizado y contenido ficticio. Para Microsoft 365, la documentación advierte de particularidades en mensajes internos que pueden no mostrar una firma DKIM como esperas. Una prueba hacia fuera evita confundir ese comportamiento con un fallo de configuración.

Lee la firma y el veredicto por separado

En las cabeceras busca DKIM-Signature y anota el valor d=, que identifica el dominio firmante, y s=, que identifica el selector. Después revisa el resultado DKIM en Authentication-Results añadido por el sistema receptor. La existencia de la firma y su validación son comprobaciones distintas.

Puede haber varias firmas. No cierres la revisión al encontrar el primer pass: identifica a qué dominio corresponde. Conserva las cabeceras originales por un canal restringido para que soporte pueda reproducir la interpretación sin depender de una captura recortada.

Relaciona el dominio con lo que ve el cliente

Compara el dominio firmante con el dominio del From visible. DKIM puede validar con un dominio que no sea el tuyo; para contribuir a DMARC debe existir la alineación correspondiente. Si solo firma el proveedor, consulta cómo activar el dominio personalizado en esa plataforma.

Si falta validación, contrasta selector y DNS con las instrucciones de tu cuenta y revisa si el mensaje sufrió modificaciones en tránsito. No publiques claves privadas ni intercambies secretos por correo para «activar DKIM». El proveedor debe indicar los registros públicos que necesitas y el procedimiento de habilitación.

Repite tras el cambio y registra el alcance

Después de corregir DNS o activar la firma, envía una muestra nueva. Un mensaje antiguo no cambia porque hayas arreglado la configuración. Comprueba también otros circuitos afectados y deja constancia de dominio, selector, resultado y fecha.

Como ejemplo hipotético, que el boletín firme bien no confirma la firma de las facturas si las envía otra aplicación. Revisa ambas rutas. Programa una nueva comprobación cuando cambies de plataforma o el proveedor avise de rotación. DKIM autentica una firma y la integridad de lo firmado; no garantiza que el contenido sea seguro ni que termine en la bandeja principal.

Fuentes y documentación

• Configurar y verificar DKIM — Dominio firmante, selector y verificación desde el receptor.
• Configurar DMARC y su despliegue — Alineación y avance desde observación a políticas de aplicación.