¿Cómo compruebo mi registro DKIM?

Escribe tu dominio en el verificador y deja el selector en blanco. Prueba los selectores de Google Workspace, Microsoft 365, Mailchimp, SendGrid y otros proveedores, y muestra cada clave que encuentra con su longitud, sus marcas y el registro tal cual. Si conoces tu selector, escríbelo para comprobar esa clave directamente.

¿Qué es un selector DKIM?

Es la etiqueta que identifica qué clave DKIM usar, y forma parte del nombre DNS donde vive la clave pública: selector._domainkey.tudominio.com. Permite a un dominio publicar varias claves a la vez, lo que hace posible rotarlas sin cortes.

¿Por qué el verificador DKIM no encuentra mi registro?

Normalmente porque tu proveedor usa un selector personalizado o generado por cuenta, que ningún verificador puede adivinar. Búscalo en la cabecera DKIM-Signature de un mensaje que hayas enviado, donde aparece como s=, y escríbelo en el campo del selector. Si ese selector tampoco devuelve nada, el registro no está publicado.

¿Una clave DKIM de 1024 bits sigue sirviendo?

Sigue funcionando: los receptores aceptan claves RSA de 1024 bits y RFC 8301 fija 1024 bits como mínimo. La recomendación actual es 2048 bits, y Google Workspace la ofrece al generar la clave. Las claves de menos de 1024 bits deben considerarse inválidas.

¿Cómo sé si mis correos salen firmados con DKIM?

Envía un mensaje a una bandeja que controles y lee las cabeceras originales. La cabecera Authentication-Results debería decir dkim=pass, con header.d= mostrando tu propio dominio. Un registro DNS publicado no prueba por sí solo que la firma esté activada en tu proveedor.

¿Qué significa t=y en un registro DKIM?

Marca la clave en modo de pruebas. Los receptores pueden tratar las firmas de una clave en pruebas como si el mensaje no estuviera firmado, así que quita t=y en cuanto un mensaje de prueba muestre dkim=pass. El verificador lo marca y te indica cómo corregirlo.

Verificador de DKIM: consulta y prueba el registro DKIM de un dominio

En resumen: Busca la clave pública que un dominio publica en selector._domainkey.dominio, probando los selectores de los grandes proveedores, calcula la longitud de cada clave y marca las débiles, revocadas o rotas por el formato del DNS. Límite: Una clave publicada prueba el lado del DNS, no que tu correo salga firmado: eso se ve en las cabeceras de un mensaje.

Un verificador DKIM busca la clave pública que un dominio publica en selector._domainkey.dominio y comprueba si se puede usar. Escribe un dominio y esta herramienta prueba los selectores que publican los grandes proveedores, calcula la longitud de cada clave y marca las claves débiles de 1024 bits, las revocadas y los registros rotos por el formato del DNS.

Domain

Selector (optional)

Leave the selector blank to auto-detect it. Free, no account. Ten lookups a minute per IP.

La herramienta es la misma que en la versión en inglés: sus botones y los motivos de cada resultado aparecen en inglés. Actualizado el 2 de noviembre de 2026 · Equipo de SimpleVerifier

Cómo comprobar el registro DKIM de un dominio

Escribe tu dominio y deja el selector en blanco para que se detecte solo.
Pulsa el botón de consulta. La herramienta prueba los selectores de Google Workspace, Microsoft 365, Mailchimp, SendGrid y otros proveedores.
Lee el veredicto de cada clave encontrada: OK, Weak (débil), Testing (en pruebas), Revoked (revocada) o Error, con su longitud y el registro tal cual.
Si conoces tu selector (el valor s= de la cabecera DKIM-Signature de un correo enviado), escríbelo para comprobar esa clave directamente.

¿Qué es un registro DKIM?

Es la clave pública que un dominio publica en el DNS para que los receptores verifiquen sus firmas. DKIM (DomainKeys Identified Mail) permite al servidor que envía firmar cada mensaje con una clave privada. La clave pública correspondiente se publica como registro TXT, y el receptor la usa para confirmar dos cosas: que el mensaje lo firmó el dominio de la etiqueta d= y que las cabeceras y el cuerpo firmados no cambiaron por el camino.

Un registro típico se ve así: v=DKIM1; k=rsa; p=MIIBIjANBgkq.... v= es la versión, k= el tipo de clave (RSA salvo que diga ed25519) y p= la clave pública en base64, la única etiqueta obligatoria. Entre las opcionales están las marcas t= y h=, que limita los algoritmos hash con los que se puede usar la clave.

¿Cómo encuentro mi selector DKIM?

El selector es la primera parte del nombre, así que una clave en google._domainkey.example.com tiene el selector google. Los selectores no se pueden listar desde el DNS, por eso esta herramienta prueba los nombres fijos que usan los proveedores. Si ninguno responde, la búsqueda ampliada del DKIM selector finder (en inglés) prueba unos 80. Si tampoco encuentra nada, lo fiable es un mensaje que hayas enviado: abre las cabeceras originales y busca DKIM-Signature; s= es el selector y d= el dominio que firma.

Google Workspace usa por defecto el selector google; el registro se genera en la consola de administración, en Aplicaciones, Google Workspace, Gmail, Autenticar correo electrónico, donde puedes elegir una clave de 2048 o 1024 bits. Microsoft 365 usa selector1 y selector2, publicados como CNAME que apuntan al DNS de Microsoft y entre los que rota. Mailchimp usa k2 y k3, SendGrid s1 y s2, Brevo brevo1 y brevo2. Amazon SES, Postmark y HubSpot generan selectores por cuenta que no se pueden adivinar, así que tómalos de la cabecera DKIM-Signature.

¿Cómo leo los resultados del verificador DKIM?

Empieza por el veredicto de cada clave. OK significa que el registro se interpreta bien, la clave se decodifica y tiene al menos 2048 bits (o es Ed25519). Weak es una clave RSA de 1024 bits: los receptores todavía la aceptan, pero la recomendación actual es 2048. Testing significa que tiene t=y. Revoked significa que p= está vacío. Error significa que algo impedirá verificar las firmas.

La longitud se calcula decodificando la propia clave, no se estima por el largo del registro. Un dominio puede tener varias claves válidas a la vez, y es normal: cada servicio que envía en tu nombre firma con su propio selector, así que encontrar google, s1 y k2 juntos solo significa que Google Workspace, SendGrid y Mailchimp están configurados.

¿Cómo corrijo los errores habituales de DKIM?

No se encontró clave: o el selector es personalizado, o DKIM nunca se activó en el proveedor. Publicar el registro DNS es solo la mitad; la mayoría de los proveedores también piden activar la firma en su panel después de verificar el registro.

Clave débil de 1024 bits: genera una nueva de 2048 bits con un selector nuevo, publícala, cambia la firma a la nueva y borra el registro viejo cuando el correo ya salga firmado con ella. Ojo: el comando New-DkimSigningConfig de PowerShell de Microsoft usa 1024 bits por defecto salvo que pases -KeySize 2048.

Clave partida en varias cadenas: una cadena TXT admite como máximo 255 caracteres y una clave de 2048 bits es más larga, así que debe publicarse como un solo registro formado por varias cadenas. Algunos paneles DNS crean en su lugar dos registros separados, o guardan las comillas como parte del valor. Las dos cosas rompen la clave; la solución es borrar el registro y pegar el valor como una sola entrada, sin comillas.

Preguntas frecuentes

¿Cómo compruebo mi registro DKIM?: Escribe tu dominio en el verificador y deja el selector en blanco. Prueba los selectores de Google Workspace, Microsoft 365, Mailchimp, SendGrid y otros proveedores, y muestra cada clave que encuentra con su longitud, sus marcas y el registro tal cual. Si conoces tu selector, escríbelo para comprobar esa clave directamente.
¿Qué es un selector DKIM?: Es la etiqueta que identifica qué clave DKIM usar, y forma parte del nombre DNS donde vive la clave pública: selector._domainkey.tudominio.com. Permite a un dominio publicar varias claves a la vez, lo que hace posible rotarlas sin cortes.
¿Por qué el verificador DKIM no encuentra mi registro?: Normalmente porque tu proveedor usa un selector personalizado o generado por cuenta, que ningún verificador puede adivinar. Búscalo en la cabecera DKIM-Signature de un mensaje que hayas enviado, donde aparece como s=, y escríbelo en el campo del selector. Si ese selector tampoco devuelve nada, el registro no está publicado.
¿Una clave DKIM de 1024 bits sigue sirviendo?: Sigue funcionando: los receptores aceptan claves RSA de 1024 bits y RFC 8301 fija 1024 bits como mínimo. La recomendación actual es 2048 bits, y Google Workspace la ofrece al generar la clave. Las claves de menos de 1024 bits deben considerarse inválidas.
¿Cómo sé si mis correos salen firmados con DKIM?: Envía un mensaje a una bandeja que controles y lee las cabeceras originales. La cabecera Authentication-Results debería decir dkim=pass, con header.d= mostrando tu propio dominio. Un registro DNS publicado no prueba por sí solo que la firma esté activada en tu proveedor.
¿Qué significa t=y en un registro DKIM?: Marca la clave en modo de pruebas. Los receptores pueden tratar las firmas de una clave en pruebas como si el mensaje no estuviera firmado, así que quita t=y en cuanto un mensaje de prueba muestre dkim=pass. El verificador lo marca y te indica cómo corregirlo.

¿Tienes una lista? Las primeras 100 direcciones son gratis.

Inicia sesión con Google, pega las direcciones o sube un CSV y cada una pasa por la misma comprobación SMTP del buzón, con resultados para descargar. Sin tarjeta.

Los dominios catch-all y los servidores que no responden salen como riesgosos, nunca como válidos.

Al continuar aceptas los Términos y la Política de privacidad. Terms · Privacy