DKIM (DomainKeys Identified Mail) añade una firma criptográfica a cada correo electrónico saliente y publica la clave pública correspondiente en el DNS, de modo que el servidor receptor pueda verificar que el mensaje procede del dominio que indica y que no ha sido alterado durante el tránsito.
Cómo funciona
El servidor remitente firma los encabezados seleccionados y el cuerpo de cada mensaje con una clave privada y añade el resultado como un encabezado «DKIM-Signature». Dicho encabezado especifica un selector y un dominio. El destinatario obtiene la clave pública del DNS en «selector._domainkey.domain» y comprueba la firma. La norma es la RFC 6376.
Dado que la firma abarca el contenido, un mensaje alterado durante la transmisión no se valida. Puesto que la clave reside en el DNS del remitente, solo alguien que controle el DNS de ese dominio puede publicar una clave que se verifique.
Lo que DKIM no hace
DKIM demuestra que un mensaje ha sido firmado por un dominio, pero no que dicho dominio coincida con la dirección «De» que ve el destinatario. Un estafador puede firmar un correo con su propio dominio de forma perfectamente válida. Vincular el dominio de firma a la dirección «De» visible es tarea de DMARC.
Tampoco se trata de un cifrado. El mensaje es legible para cualquiera que lo maneje; DKIM solo permite detectar la manipulación.
Cómo comprobar un mensaje
Abra los encabezados completos de un correo electrónico que haya recibido y busque «Authentication-Results». Debe buscar «dkim=pass» y el dominio para el que ha superado la verificación.
DKIM en Mailotte
El correo enviado desde Mailotte está firmado con DKIM. Cuando conecta su propio dominio, Mailotte genera una clave de firma para él y le proporciona un registro TXT que debe publicar en selector._domainkey.yourdomain, de modo que el correo procedente de su dominio se firme como tal y no como mailotte.com.
Preguntas
¿DKIM cifra mi correo electrónico?
No. Lo firma, lo que permite detectar cualquier manipulación. Cualquier persona que maneje el mensaje podrá seguir leyéndolo.
¿Qué es un selector DKIM?
Una etiqueta que indica qué clave hay que buscar, de modo que un dominio puede tener varias claves a la vez —por ejemplo, una por proveedor de correo, o una clave antigua y otra nueva durante la rotación—. La clave pública se encuentra en selector._domainkey.sudominio.
¿Por qué se supera la verificación DKIM, pero mi correo sigue yendo a la carpeta de spam?
Porque DKIM solo demuestra quién ha firmado el mensaje. Los destinatarios también tienen en cuenta la alineación con DMARC, la reputación del servidor remitente y el contenido.
Términos relacionados
- SPF — Sender Policy Framework
- DMARC — Autenticación, notificación y conformidad de mensajes basados en el dominio
- MTA-STS — Seguridad de transporte estricta para el MTA de SMTP
- Todos los términos