Cómo comprobar que DKIM está configurado tras cambiar de proveedor de correo

Tras un cambio, comprueba que cada dominio de envío publica la clave DKIM del nuevo proveedor, en el selector con el que firma ese proveedor. Introduce ese selector en el comprobador masivo de DKIM y pega todos tus dominios: cada fila muestra si la clave está, su longitud y cualquier error, como un CNAME que no apunta a nada.

Comprueba DKIM en una lista de dominios →

Compruébalos de forma masiva

1. Abre el comprobador masivo de DKIM.
2. Pega los dominios de envío, uno por línea: hasta 100 por ejecución, o 500 tras iniciar sesión gratis con Google.
3. Introduce el selector del nuevo proveedor: google para Google Workspace, selector1, selector2 para Microsoft 365, o el que muestre tu ESP en su página de configuración DNS. Hasta tres, separados por comas. Déjalo en blanco para probar 22 selectores habituales.
4. Pulsa Check DKIM (comprobar DKIM).
5. Lee cada fila: Key found, Weak key, Testing, Revoked, Broken, CNAME to nothing o No key found. Descarga el CSV.

Hazlo a mano

printf "github.com\nstripe.com\nnotion.so\n" > domains.txt
sel=google

while read -r d; do
  key=$(dig +short txt "$sel._domainkey.$d" | grep -v '\.$' | tr -d '" \n')
  if [ -z "$key" ]; then echo "$d,$sel,NO KEY"; continue; fi
  bits=$(echo "$key" | sed 's/.*p=//; s/;.*//' | base64 -d 2>/dev/null \
    | openssl pkey -pubin -inform DER -noout -text 2>/dev/null | sed -n 's/.*(\([0-9]*\) bit).*/\1/p')
  echo "$d,$sel,${bits:-unreadable} bit"
done < domains.txt
# github.com,google,2048 bit
# stripe.com,google,1024 bit
# notion.so,google,NO KEY

Lo ejecutamos el 9 de noviembre de 2026. grep -v '\.$' descarta la línea CNAME que imprime dig cuando el selector está delegado, para que solo se decodifique la clave. NO KEY para notion.so solo significa que no publica nada en el selector google; puede que firme con otro.

Los selectores que apuntan a un proveedor aparecen como CNAME:

dig +short cname s1._domainkey.github.com
# s1.domainkey.u51742174.wl175.sendgrid.net.

Los pasos que la gente olvida tras un cambio

• Activar la firma. La página Set up DKIM de Google te hace añadir primero el registro DNS y pulsar Start Authentication más tarde, y dice que puede tardar hasta 48 horas en empezar a funcionar. Microsoft 365 te hace publicar los CNAME y después activar la firma; consulta la guía de DKIM de Microsoft.
• El destino correcto de Microsoft. La guía de Microsoft dice que los dominios personalizados añadidos desde mayo de 2025 reciben destinos CNAME que terminan en dkim.mail.microsoft, mientras que los dominios existentes conservan el formato antiguo onmicrosoft.com, y los dos no pueden convivir en el mismo selector. Copia los valores que te da el portal de Defender, no los de una configuración antigua.
• Longitud de la clave. La RFC 8301 dice que los firmantes "MUST use RSA keys of at least 1024 bits" (deben usar claves RSA de al menos 1024 bits) y "SHOULD use RSA keys of at least 2048 bits" (deberían usar claves RSA de al menos 2048 bits). La página de Google dice que elijas 2048 si tu proveedor DNS lo admite.
• El selector del proveedor antiguo. Déjalo donde está hasta que el proveedor antiguo deje de enviar, para que el correo aún en tránsito se verifique. Después elimínalo o publícalo vacío (p=), lo que la RFC 6376 define como una clave revocada.
• La prueba con un mensaje real. Envíate un mensaje y lee la cabecera DKIM-Signature: s= es el selector, d= el dominio firmante. Si d= es el dominio del proveedor y no el tuyo, DKIM no se alineará para DMARC.

Para la configuración por proveedor, consulta configurar DKIM en Google Workspace, configurar DKIM en Microsoft 365 y DKIM para cada servicio que envía con tu dominio.

Siguiente paso: comprueba la lista antes del primer envío

Un cambio de proveedor es cuando salen a la luz los viejos problemas de la lista: la nueva plataforma te juzga por tus primeros envíos. Sube la lista en /verify para comprobar cada buzón sin enviar nada. Las primeras 100 comprobaciones son gratis al iniciar sesión con Google, sin tarjeta.

Pro, $39 al mes: verificación de correos ilimitada.* Nunca medida, nunca se corta. Consulta los precios.

*Uso razonable: las primeras 100.000 verificaciones del mes a máxima velocidad, después más lento, nunca se corta.

Más para leer: la entregabilidad cayó tras cambiar de ESP, ¿cambias de plataforma de correo? verifica la lista primero.