Generador de registros DKIM

Pega la clave pública que te dio tu servidor o proveedor de correo, indica el selector y el dominio, y copia el registro DNS. La herramienta reconoce claves RSA o Ed25519, comprueba el tamaño de la clave RSA y divide los valores largos para el archivo de zona. La clave no sale del navegador.

Selector

Dominio

Clave públicaPEM (-----BEGIN PUBLIC KEY-----), Base64 sin más o un registro existente con p=. No pegues nunca la clave privada.

Modo de prueba (t=y): los receptores no deben tratar los fallos de otro modo Sin subdominios (t=s): el dominio de la firma debe coincidir exactamente Solo SHA-256 (h=sha256)

Clave RSA de 2048 bits.

Nombre de host (registro TXT)

Valor TXT

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAmhHm92aoKERFuBA98PWUVnyUT51jmJjShlM1D3NkNiQBHIVP5fGEBxcvyeTGIIjFWBw60Cq+GcubM8/7kNt5vCkqnZ1Ckou6dynbJom6Th/x6ftqtZNZK9MtWzqKxhpSJ+MdpD802LIvn9ahgKfsw3DN/kU/kQcDY3DuE7w8vVUHLDsn0PKBkO1xhikXHcL0FgLzV8Pux+z4Xk9ycou+f7PwAPRHyzJ3LdjvJp9ENSlRSqjIolVKU8xZxJlN+qArm5dtG3/EGbVi+wTY8PVsspt0hO5BeGVcpxr19yJO+rsqjgX0YFIFTmyt8mBSaLnkhlI/8YHjusdt0E/6U9VOSwIDAQAB

Caracteres: 410; cadenas de hasta 255 en el archivo de zona: 2.

Línea para el archivo de zona

mail._domainkey IN TXT (
  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAmhHm92aoKERFuBA98PWUVnyUT51jmJjShlM1D3NkNiQBHIVP5fGEBxcvyeTGIIjFWBw60Cq+GcubM8/7kNt5vCkqnZ1Ckou6dynbJom6Th/x6ftqtZNZK9MtWzqKxhpSJ+MdpD802LIvn9ahgKfsw3DN/kU/kQcDY3DuE7w8vVUHLDsn0PKBkO1xhikXHcL0F"
  "gLzV8Pux+z4Xk9ycou+f7PwAPRHyzJ3LdjvJp9ENSlRSqjIolVKU8xZxJlN+qArm5dtG3/EGbVi+wTY8PVsspt0hO5BeGVcpxr19yJO+rsqjgX0YFIFTmyt8mBSaLnkhlI/8YHjusdt0E/6U9VOSwIDAQAB"
)

Funciona en tu navegador: nada de lo que escribes se envía a ningún sitio.

Cómo se usa

Genera un par de claves en tu servidor de correo o copia la clave pública de los ajustes DKIM de tu proveedor.
Escribe el selector con el que firma el servidor y tu dominio.
Pega la clave pública: sirven bloques PEM, Base64 sin más y registros antiguos del tipo v=DKIM1; … p=….
Copia el nombre de host y el valor TXT a tu panel DNS, o la línea de zona a un archivo de zona BIND.

Cómo funciona

El registro sigue el RFC 6376: primero v=DKIM1, después k= con el tipo de clave y p= con la clave en Base64. Las etiquetas opcionales son h=sha256 (aceptar solo firmas SHA-256) y t= con las marcas y (prueba) y s (el dominio i= de la firma debe ser igual a d=, sin subdominios).

La clave se decodifica y su tipo se lee de la estructura DER:

RSA: una clave SubjectPublicKeyInfo (el PEM que empieza por MIIB…) se usa tal cual. Una clave PKCS#1 (BEGIN RSA PUBLIC KEY) se envuelve en SubjectPublicKeyInfo, la forma que suelen llevar los registros DKIM. El tamaño es la longitud del módulo. El RFC 8301 dice que los firmantes deben usar al menos 1024 bits y deberían usar al menos 2048, así que las claves más cortas se rechazan y las de 1024 bits reciben un aviso.
Ed25519: el RFC 8463 pone en p= la clave en bruto de 32 bytes, así que de un bloque SubjectPublicKeyInfo se toman esos 32 bytes.

Para el archivo de zona el valor se corta en cadenas de 255 caracteres, porque una cadena TXT admite como máximo 255 bytes.

Ejemplo

Con el selector mail, el dominio example.com y la clave RSA de 2048 bits del formulario, el registro es:

Nombre de host: mail._domainkey.example.com
Valor: v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA…IDAQAB, de 410 caracteres.
Archivo de zona: dos cadenas, de 255 y 155 caracteres.

Consejos

Comprueba el registro tras publicarlo: dig TXT mail._domainkey.example.com +short debe mostrar el valor.
Al rotar claves, deja publicado el selector antiguo unos días para que los mensajes firmados antes del cambio sigan verificándose.
DKIM funciona mejor junto con SPF y una política DMARC.

Preguntas frecuentes

¿Dónde se pone el registro DKIM?

Crea un registro TXT cuyo nombre sea el selector seguido de ._domainkey, por ejemplo mail._domainkey para el dominio example.com. Muchos paneles DNS añaden el dominio solos, así que basta con escribir mail._domainkey. El valor es el texto que empieza por v=DKIM1.

¿Qué es un selector DKIM?

Una etiqueta que elige el remitente para que el receptor sepa qué clave consultar. La firma de cada mensaje la indica como s=mail. Con varios selectores puedes tener varias claves a la vez, por ejemplo una por servicio de correo, y cambiar de clave sin cortes.

¿Por qué el registro aparece dividido en varias cadenas?

Una cadena dentro de un registro TXT admite como máximo 255 caracteres y una clave RSA de 2048 bits es más larga. En el archivo de zona el valor se escribe como varias cadenas entre comillas seguidas; el servidor DNS las devuelve juntas y el receptor las une sin espacios. Los paneles DNS web suelen dividirlo solos: pégalo entero allí.

¿RSA o Ed25519?

RSA 2048 lo verifican todos los receptores. Las claves Ed25519 (RFC 8463) son mucho más cortas, pero aún no todos las verifican, por lo que es habitual firmar cada mensaje dos veces: con Ed25519 y con RSA, con dos selectores.

¿Qué hace t=y?

Indica que el dominio está probando DKIM: los receptores no deben tratar por ello los mensajes firmados de forma distinta a los no firmados. Quita la marca cuando las firmas se verifiquen bien.

¿Se envía mi clave a algún sitio?

No. El registro se monta en tu navegador. La clave pública se publica en el DNS de todos modos, pero la herramienta rechaza las privadas para que no se peguen por error.

Más en Desarrollo

Todas las herramientas de la categoría: Desarrollo ·Actualizado el 4 de noviembre de 2026