DKIM en Google Workspace: el registro, la espera y las pruebas

Para configurar DKIM en Google Workspace, abre la Consola de administración en Menú > Aplicaciones > Google Workspace > Gmail > Autenticar correo electrónico (en inglés, Menu > Apps > Google Workspace > Gmail > Authenticate email), genera una clave de 2048 bits, publícala como registro TXT en google._domainkey.tudominio.com y luego vuelve y haz clic en Iniciar autenticación (Start authentication). Deja pasar hasta 48 horas y confírmalo revisando que los encabezados de un mensaje enviado muestren dkim=pass para tu propio dominio.

Los pasos de abajo siguen la página de ayuda de Google Set up DKIM, leída el 6 de octubre de 2026, y añaden las comprobaciones que te dicen si de verdad funcionó. Si tu dominio ya tiene una clave de Google y quieres reemplazarla, eso es rotación, y lo cubrimos en longitud y rotación de claves DKIM.

Antes de empezar

Necesitas un acceso de administrador a la Consola de administración, acceso al DNS de tu dominio y Gmail activado desde hace al menos 24 horas. La página de ayuda de Google es explícita con lo último: "after you turn on Gmail for your organization, you must wait 24–72 hours before you can get your DKIM key" (después de activar Gmail para tu organización, debes esperar de 24 a 72 horas antes de poder obtener tu clave DKIM). Si acabas de pasar un dominio a Workspace y la página Autenticar correo electrónico no genera un registro, ese periodo de espera suele ser el motivo.

También conviene saber por qué haces esto. Las pautas para remitentes de correo de Google exigen que todo remitente use SPF o DKIM, y que los remitentes masivos (más de 5000 mensajes al día a Gmail) tengan SPF, DKIM y DMARC, con "the domain in the sender's From: header ... aligned with either the SPF domain or the DKIM domain" (el dominio del encabezado From: del remitente ... alineado con el dominio de SPF o con el de DKIM). Una firma DKIM para tu propio dominio es la alineación que sobrevive al reenvío, algo que SPF no logra.

Paso 1: genera la clave

En la Consola de administración, ve a Menú > Aplicaciones > Google Workspace > Gmail > Autenticar correo electrónico, elige el dominio y haz clic en Generar registro nuevo (Generate New Record). Te pedirá dos cosas:

• Longitud de la clave. La página de Google dice que elijas 2048 "if your domain provider supports 2048-bit keys" (si tu proveedor de dominio admite claves de 2048 bits), y 1024 en caso contrario. Las pautas para remitentes de Gmail exigen "a DKIM key of 1024 bits or longer" (una clave DKIM de 1024 bits o más) y recomiendan 2048.
• Prefijo del selector. El predeterminado es google, y Google recomienda mantenerlo. Usa otro prefijo solo si tu dominio ya tiene un registro en google._domainkey, por ejemplo de una configuración anterior que quieres dejar en su lugar durante un cambio.

Si administras varios dominios en una misma cuenta de Workspace, repite esto para cada uno. La página de Google dice: "You must get a unique DKIM key from the Admin Console for each domain." (Debes obtener una clave DKIM única en la Consola de administración para cada dominio).

Paso 2: publica el registro TXT

La consola te da un nombre de host y un valor TXT; copia ambos exactamente en tu proveedor de DNS como registro TXT.

Campo	Lo que muestra Google	Lo que debes ingresar
Nombre de host DNS	google._domainkey	google._domainkey (la mayoría de los proveedores de DNS agregan tu dominio automáticamente)
Tipo de registro	TXT	TXT
Valor del registro TXT	Empieza con v=DKIM1; k=rsa; p=	La cadena completa, sin cambios

Aquí fallan dos cosas más que cualquier otra.

El nombre de host queda con el dominio dos veces. Si tu proveedor de DNS agrega la zona automáticamente y escribes google._domainkey.example.com, el registro termina en google._domainkey.example.com.example.com. Ingresa solo google._domainkey, salvo que tu proveedor pida el nombre completo.

La clave de 2048 bits es demasiado larga para una sola cadena. La página de Google Troubleshoot DKIM issues dice que la mayoría de los registros TXT "can have up to 255 characters" (pueden tener hasta 255 caracteres) y que una clave de 2048 bits no se puede ingresar como una sola cadena con ese límite. La solución que propone es dividir la clave en varias cadenas entre comillas dentro del mismo valor del registro TXT. Los receptores vuelven a unir las cadenas. Puedes ver cómo se ve esto en un dominio real: cuando ejecutamos dig TXT google._domainkey.zapier.com el 6 de octubre de 2026, la respuesta llegó como dos cadenas entre comillas, "v=DKIM1; k=rsa; p=MIIBIjANBg..." seguida de "7ixR8ZRj...", que es una clave de 2048 bits publicada en dos partes.

Si tu proveedor de DNS rechaza valores TXT largos y no acepta cadenas divididas, la página de solución de problemas de Google sugiere usar una clave de 1024 bits o preguntarle al proveedor si admite registros de más de 255 caracteres.

Paso 3: inicia la autenticación

Cuando el registro esté publicado, vuelve a Autenticar correo electrónico, elige el mismo dominio y haz clic en Iniciar autenticación. Cuando funciona, Google dice que el estado en la parte superior de la página cambia a Authenticating email with DKIM (autenticando el correo con DKIM).

No te alarmes si no cambia de inmediato. La página de configuración de Google dice que "it can take up to 48 hours for DKIM authentication to start working" (la autenticación DKIM puede tardar hasta 48 horas en empezar a funcionar), y que la consola "might continue to display this message for up to 48 hours: You must update the DNS records for this domain" (puede seguir mostrando este mensaje durante hasta 48 horas: debes actualizar los registros DNS de este dominio) aunque el registro esté bien. Revisa el registro tú mismo en lugar de esperar a la consola.

Paso 4: comprueba que funciona

Confirma que el registro es visible en el DNS y luego confirma que un mensaje real está firmado por tu dominio. Que el registro exista no es lo mismo que el correo pase la verificación.

Desde una terminal:

dig +short TXT google._domainkey.yourdomain.com

Deberías recibir una cadena que empieza con v=DKIM1. Si no recibes nada, el registro falta, tiene un nombre equivocado o todavía no se ha propagado. El verificador de DKIM hace la misma consulta para un dominio y un selector si prefieres no usar una terminal.

Después envía un mensaje desde un buzón de Workspace a una dirección de otro proveedor y abre los encabezados originales. Busca la línea Authentication-Results. La ayuda de Google dice que busques DKIM=pass o DKIM=OK. Lo que importa para DMARC es qué dominio pasó, que aparece como header.d= o header.i=@:

Authentication-Results: mx.example.net;
  dkim=pass header.d=yourdomain.com header.s=google

Si header.s=google y header.d= es tu dominio, la configuración está lista. Si la firma que pasó pertenece a otro dominio, tu propia clave todavía no está firmando. Nuestra guía para leer los encabezados de un correo recorre el resto de ese bloque.

Errores comunes después de la configuración

La mayoría de los fallos tras una configuración que parece correcta vienen de algo que modifica el mensaje después de que Google lo firma, o de demasiadas firmas. La página de solución de problemas de Google enumera los casos que vale la pena conocer:

Lo que ves	Lo que significa
Autenticar correo electrónico muestra el nombre de host y el valor en blanco	Todavía no se ha generado ningún registro DKIM para ese dominio
dkim=fail, motivo "body hash did not verify" (no se verificó el hash del cuerpo)	El mensaje se modificó en tránsito, por ejemplo por una pasarela de salida, una herramienta de pies de página o un servicio de avisos legales
dkim=neutral	A menudo, un reenvío a través de un servicio que modifica el contenido, o una firma válida que no está entre las cinco primeras que se revisan
DMARC falla aunque una firma pase	Gmail evalúa solo las cinco primeras firmas DKIM; una que pase más abajo se ignora

La última fila importa si el correo pasa por varios sistemas que agregan cada uno su firma. La página de solución de problemas de Google también pide comprobar que los servicios que envían en tu nombre no usen la etiqueta de longitud de DKIM (l=), que el RFC 6376 trata como una debilidad de seguridad porque permite añadir contenido después de la parte firmada.

Alineación DMARC y tus otros remitentes

La clave de Google solo firma el correo que sale por Gmail, así que cualquier otro servicio que envíe en nombre de tu dominio necesita su propia configuración de DKIM. Las plataformas de newsletters, los CRM, los help desks y los sistemas de facturación firman cada uno con su propia clave. La mayoría te da un registro CNAME o TXT para publicar con su propio nombre de selector, que puede convivir con google._domainkey sin conflicto, porque el selector indicado en cada firma le dice al receptor qué clave buscar.

Para DMARC, la firma tiene que ser de un dominio que coincida con tu dirección From. Según el RFC 7489, la alineación DKIM es relajada por defecto, así que una firma para mail.tudominio.com se alinea con un From de tudominio.com porque comparten el dominio organizacional. Una firma con el dominio propio del ESP no se alinea, aunque pase. Un ESP que firma solo con su propio dominio mostrará dkim=pass en los encabezados y aun así fallará DMARC.

Antes de endurecer DMARC, haz una lista de todos los servicios que envían en nombre de tu dominio y revisa los encabezados de cada uno de la misma forma. Ese inventario es el primer paso para pasar DMARC de p=none a p=reject. Si todavía no has publicado ningún registro DMARC, el generador de DMARC arma un registro inicial con p=none.

Lista de comprobación práctica

1. Espera de 24 a 72 horas después de activar Gmail antes de intentar generar una clave.
2. Genera una clave de 2048 bits en Menú > Aplicaciones > Google Workspace > Gmail > Autenticar correo electrónico, manteniendo el prefijo google salvo que ya esté en uso.
3. Publica el registro TXT en google._domainkey, sin el dominio duplicado, y divide el valor en cadenas entre comillas si tu proveedor lo necesita.
4. Haz clic en Iniciar autenticación y deja pasar hasta 48 horas.
5. Comprueba con dig y luego revisa un mensaje real buscando dkim=pass con tu dominio en header.d=.
6. Configura DKIM por separado para cada uno de los demás remitentes y después trabaja en DMARC.

Para revisar a la vez el resto de la autenticación de tu dominio, la auditoría de entregabilidad consulta MX, SPF, DKIM, DMARC y el estado en listas de bloqueo de una sola vez.