Verificador DKIM masivo: ¿está publicada la clave DKIM en cada dominio?

DKIM (RFC 6376) firma cada mensaje con una clave privada, y los receptores encuentran la clave pública en DNS en <selector>._domainkey.<domain>. El selector lo elige quien firma el correo, así que no hay forma de listar todas las claves de un dominio; un verificador tiene que conocer o adivinar el selector.

Indica el selector que muestra tu herramienta de envío y se lee exactamente ese registro en cada dominio, la revisión más rápida y fiable. Si lo dejas vacío, prueba 22 selectores comunes de Google Workspace, Microsoft 365 y grandes plataformas de envío, como google, selector1, selector2, k1, s1 y default. En ambos casos se lee el registro TXT y cualquier CNAME, porque muchas plataformas delegan la clave a su propio DNS.

Key found: un registro DKIM válido con una clave RSA de 2048 bits o más, o una clave Ed25519. Weak key: una clave RSA de menos de 2048 bits, normalmente 1024, aún aceptada pero por debajo de la recomendación actual, así que rótala. Una clave de menos de 1024 bits aparece como Broken, porque el RFC 8301 dice que los receptores la rechazan. Testing: el registro tiene t=y, que pide a los receptores no tratar los fallos de forma distinta al correo sin firmar.

Revoked: la clave se publica vacía (p=), es decir, se retiró a propósito. Broken: el registro no se puede leer como clave DKIM. CNAME to nothing: el selector está delegado a una plataforma, pero el destino no tiene clave, normalmente porque la configuración nunca se terminó allí. No key found: ninguno de los selectores probados tiene clave, lo que no demuestra que el dominio no tenga DKIM, solo que usa otro selector.

Google Workspace usa google por defecto, y Microsoft 365 usa selector1 y selector2. La mayoría de las plataformas muestran el suyo en la página de configuración DNS, y puedes leerlo en cualquier email que hayas enviado: la etiqueta s= de la cabecera DKIM-Signature es el selector, y d= es el dominio que firma.

Para encontrar todos los selectores que ha publicado un dominio, probando unos 80, usa el buscador de selectores DKIM (en inglés). Para una clave explicada etiqueta por etiqueta, usa el verificador DKIM.

Los equipos de cold email envían desde decenas de dominios secundarios, y cada uno necesita su propia clave DKIM antes del calentamiento. Las directrices para remitentes de Google exigen DKIM a los remitentes masivos, y un dominio que se saltó el paso no firma nada. Una revisión masiva con el selector que configuraste muestra los huecos en una sola tanda.

También es la forma más rápida de confirmar que una rotación de claves llegó a todos los dominios, o que ya no quedan claves de 1024 bits.