Qué revisar si una pasarela modifica un mensaje firmado con DKIM
Si DKIM pasa antes de una pasarela y falla después, localiza qué parte del mensaje cambia y en qué orden se firma.
Equipo enginerIT· 2 min de lectura
Si DKIM pasa antes de una pasarela y falla después, localiza qué parte del mensaje cambia y en qué orden se firma. No desactives la verificación como primera respuesta: una firma rota puede ser una consecuencia del tratamiento del correo que conviene corregir en su origen.
Conserva dos versiones de una prueba inocua
Prepara un mensaje sin datos reales que atraviese la misma ruta problemática. Recoge una copia previa a la pasarela, si el proveedor permite obtenerla, y la recibida al final. Incluye cabeceras completas y el resultado de autenticación emitido por el receptor. Si no puedes conseguir la copia previa, declara ese límite: tendrás una hipótesis, no la demostración del punto de rotura.
Anota la dirección del flujo. Una pasarela que trata correo entrante no se configura necesariamente igual que un servicio que añade firmas corporativas al correo saliente.
Busca la transformación y el orden
Pregunta si el servicio añade pies legales, reescribe enlaces, retira adjuntos o modifica cabeceras. DKIM protege partes determinadas del mensaje; no cualquier diferencia invalida necesariamente la firma. Contrasta la modificación concreta con el resultado, en vez de atribuir el problema a todo el producto.
Si el tratamiento forma parte de tu envío, revisa con los proveedores si la firma puede producirse después de las modificaciones autorizadas. Si se trata de correo entrante de terceros, no puedes volver a firmarlo como si fueras el dominio original. Microsoft documenta ARC para conservar los resultados anteriores a servicios intermediarios legítimos.
Acepta la solución solo cuando explique el caso
Haz una prueba cambiando una transformación cada vez, con autorización del responsable de seguridad para cualquier modificación de controles. Repite con un mensaje sencillo y otro que represente el formato que fallaba. Guarda resultados, ruta y configuración utilizada; una captura de la casilla DKIM activada no demuestra la validación en destino.
Si se propone confiar en un sellador ARC, verifica su dominio real de firma y limita la decisión al servicio necesario. Si la firma también falla en el envío directo, revisa la publicación y configuración DKIM del emisor antes de culpar a la pasarela. Mantén abierta la incidencia hasta que un receptor externo confirme el comportamiento esperado.
Comprobaciones para cerrar la tarea
- ✓ Obtener muestra anterior y posterior o declarar que falta una.
- ✓ Enumerar las transformaciones efectivas de la pasarela.
- ✓ Probar la solución en destino con el formato que fallaba.
Fuentes y documentación
- DKIM para dominios personalizados — Firma del correo y comprobación de mensajes recibidos.
- Selladores ARC de confianza — Efectos de intermediarios y conservación de resultados originales.
Aplicarlo en tu empresa
Podemos revisar el entorno y acordar qué actuaciones, validaciones y mantenimiento necesitas.
Conocer el servicio relacionado →