Formateador de Registro TXT DKIM

El Formateador de Registros TXT DKIM convierte claves públicas DKIM en registros DNS TXT con formato correcto que cumplen con el límite de 255 caracteres por cadena. Pega una clave pública codificada en base64 como una clave RSA de 2048 bits y obtén un registro correctamente dividido, listo para archivo de zona, para un selector como google._domainkey.example.com.

Entendiendo los registros DKIM

DKIM es el mecanismo de autenticación de correo electrónico que demuestra que un mensaje no ha sido alterado en tránsito. Cuando tu servidor de correo envía un email, genera una firma criptográfica sobre los headers y el cuerpo del mensaje usando una clave privada. La clave pública correspondiente se publica en DNS para que los servidores receptores puedan buscarla y verificar la firma. Si la firma es válida, el receptor sabe que el mensaje fue genuinamente enviado por tu dominio y no fue modificado en el camino.

El desafío con DKIM no es la criptografía -- tu servidor de correo se encarga de eso automáticamente. El desafío es insertar la clave pública en DNS correctamente. Una clave RSA de 2048 bits produce una cadena codificada en base64 de aproximadamente 392 caracteres, pero una cadena individual de registro DNS TXT solo puede contener 255 caracteres. Si pegas la clave directamente en la mayoría de las interfaces de proveedores DNS, se trunca silenciosamente (rompiendo la verificación DKIM) o el proveedor la rechaza con un mensaje de error confuso. La clave necesita dividirse en múltiples cadenas entrecomilladas dentro de un solo registro TXT, y la división debe hacerse correctamente para que los resolvers DNS la reensamblen.

Este formateador se encarga de la división por ti. Pegas tu clave pública, especificas el nombre del selector y cualquier tag DKIM opcional, y produce el registro DNS completo en el formato correcto -- listo para pegar en un archivo de zona BIND o en la interfaz web de tu proveedor DNS. Previene los errores sutiles de formato que causan fallas de validación DKIM, que son notoriamente difíciles de depurar porque los síntomas (correos marcados como spam o rechazados) no apuntan obviamente a un problema de formato DNS.

Cómo formatear un registro TXT DKIM

1. Pega tu clave pública DKIM (típicamente una clave RSA de 2048 bits en codificación base64)
2. Ingresa el nombre de tu selector (por ejemplo, google, s1, default)
3. Selecciona el tipo de clave -- RSA es estándar, Ed25519 es emergente
4. Configura tags DKIM opcionales como modo de prueba (t=y) o tipo de servicio (s=email)
5. El formateador divide la clave en cadenas entrecomilladas de 255 caracteres con sintaxis correcta
6. Copia el registro formateado para tu archivo de zona DNS o interfaz de proveedor

Ejemplos de formato de registro DKIM

Clave corta (RSA de 1024 bits) -- Cadena única

selector._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC3QEKyU1fSma0axspqYK49aE..."

Clave larga (RSA de 2048 bits) -- Multi-cadena requerida

selector._domainkey.example.com. IN TXT (
    "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA2UMfREvlgajdSp3jv1oI"
    "k5LDXFMxqsmSZMTpNEm0MKhDlMlSGbNyERxMnpPQKHlkNPPsFKdXJQsaJFcFP1ab"
    "jCNRQaSwrztEOLGhSV1YlfS0MkIm8v5LqlkFRm0+3kOpE+RSI0E/9IMERJ3v5ggJ"
    "QIDAQAB"
)

Formato de archivo de zona BIND

google._domainkey IN TXT ( "v=DKIM1; k=rsa; "
    "p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."
    "...base64data..."
    "QIDAQAB" )

Referencia de tags DKIM

Cuándo usar el formateador DKIM

• Configurando la firma DKIM para un nuevo dominio y necesitas publicar la clave pública en DNS
• Rotando claves DKIM de RSA de 1024 bits a 2048 bits para mejorar la seguridad
• Agregando nuevos selectores para diferentes flujos de correo (marketing, transaccional, corporativo)
• Migrando proveedores DNS y necesitas reingresar registros DKIM en un formato de interfaz diferente
• Solucionando fallas DKIM causadas por formato incorrecto o truncamiento del registro TXT
• Desplegando múltiples claves de firma cuando diferentes servicios (Google, SendGrid, Postmark) requieren cada uno su propio selector

Cómo funcionan los registros DNS DKIM

Estructura de selector y dominio

Las claves públicas DKIM se publican en una ubicación DNS específica siguiendo el patrón:

<selector>._domainkey.<dominio>

Por ejemplo, si tu selector es google y tu dominio es example.com, el registro se ubica en google._domainkey.example.com. El selector permite múltiples claves DKIM por dominio -- una para cada fuente de firma.

El límite de 255 caracteres por cadena

Los registros DNS TXT almacenan datos en cadenas individuales de hasta 255 caracteres. Una clave pública RSA de 2048 bits en codificación base64 tiene aproximadamente 392 caracteres solo para los datos de la clave, más los tags DKIM. El registro total fácilmente excede los 255 caracteres, requiriendo que el valor se divida en múltiples cadenas entrecomilladas.

Los resolvers DNS automáticamente concatenan múltiples cadenas en un registro TXT en un solo valor. Los puntos de división pueden ocurrir en cualquier parte de los datos -- incluso a mitad de palabra -- porque la concatenación es a nivel de bytes, no semántica.

Consideraciones de tamaño de clave

RSA de 2048 bits es el estándar actual de la industria. Las claves menores a 1024 bits se consideran inseguras y pueden ser rechazadas por los receptores. Las claves Ed25519 son mucho más cortas pero aún no son universalmente soportadas.

Gestión de claves DKIM en la práctica

El error de despliegue DKIM más común es publicar la clave incorrectamente y no verificarla. Después de agregar el registro TXT a DNS, siempre confirma consultando el registro con una herramienta como dig o nslookup y comparando el valor devuelto contra la clave pública original. La propagación DNS puede tomar de minutos a horas dependiendo de tu configuración de TTL, así que espera apropiadamente antes de probar. Una forma rápida de verificar es dig TXT selector._domainkey.example.com y confirmar que la clave base64 completa aparece en la respuesta sin truncamiento.

La rotación de claves es otra área donde los administradores frecuentemente tropiezan. La mejor práctica es generar un nuevo par de claves con un nuevo selector, publicar la nueva clave pública en DNS, esperar la propagación, cambiar tu servidor de correo para firmar con la nueva clave privada, y solo entonces eliminar la clave pública antigua de DNS. Si eliminas la clave antigua antes de que todos los mensajes en tránsito hayan sido entregados y verificados, esos mensajes fallarán las verificaciones DKIM. Un buen enfoque es mantener la clave antigua publicada por al menos una semana después de cambiar selectores, dando tiempo a que los mensajes en caché sean entregados.

Cuando configures DKIM por primera vez, usa el flag de prueba t=y inicialmente. Esto le indica a los servidores receptores que tu dominio está en modo de prueba DKIM y que no deberían tomar acción ante fallas de verificación. Una vez que hayas confirmado que la firma funciona correctamente revisando los reportes agregados DMARC, elimina el flag t=y para habilitar la aplicación completa. Dejar t=y permanentemente socava el valor de seguridad de DKIM, ya que los receptores ignorarán las fallas.

Preguntas frecuentes

¿Por qué mi registro DKIM falla la validación después de pegarlo en DNS?

La causa más común es la división incorrecta de cadenas. Si tu proveedor DNS no soporta registros TXT multi-cadena o trunca valores largos, los datos de la clave pública están incompletos y la verificación DKIM fallará. Usa este formateador para asegurar una división correcta, luego verifica que el registro publicado coincida con el valor esperado usando dig TXT selector._domainkey.tudominio.com.

¿Puedo tener múltiples registros DKIM para un dominio?

Sí. A diferencia de SPF, DKIM soporta múltiples claves a través de diferentes selectores. Cada sistema de correo (Google Workspace, SendGrid, Mailchimp) usa su propio selector, así que sus claves no entran en conflicto. Por ejemplo, google._domainkey.example.com y sendgrid._domainkey.example.com coexisten sin problemas.

¿Qué hace t=y (modo de prueba)?

Cuando se establece t=y, los servidores de correo receptores deberían tratar las fallas de verificación DKIM como si el dominio no estuviera firmado. Esto te permite publicar una clave DKIM y comenzar a firmar correos sin riesgo de fallas de entrega mientras verificas que la configuración es correcta. Elimina t=y una vez que la prueba esté completa para habilitar la aplicación completa de DKIM.

¿Debería usar claves RSA de 2048 bits o 4096 bits?

RSA de 2048 bits es el estándar actual y es aceptado por todos los principales proveedores de correo. Aunque las claves de 4096 bits proporcionan seguridad más fuerte, producen registros TXT muy largos que algunos proveedores DNS tienen dificultad para manejar, y aumentan el tamaño de los headers de firma DKIM en cada correo. La mejora de seguridad sobre 2048 bits es marginal para propósitos de autenticación de correo. Usa 2048 bits a menos que tu política de seguridad requiera específicamente claves más largas.

¿Qué es Ed25519 y debería usarlo?

Ed25519 es un algoritmo de curva elíptica que produce claves (~44 caracteres) y firmas mucho más cortas que RSA, haciendo los registros DNS y los headers de correo más pequeños. Sin embargo, el soporte de DKIM con Ed25519 aún no es universal entre los servidores de correo receptores. Si adoptas Ed25519, publica tanto una clave Ed25519 como una clave RSA de 2048 bits bajo selectores diferentes, y firma con ambas. Los receptores que soporten Ed25519 la usarán; los demás recurrirán a RSA.

Herramientas relacionadas

• Constructor de Registros SPF - Construye registros SPF con sintaxis correcta
• Constructor de Registros DMARC - Construye registros DMARC con todos los tags de política
• Verificador de Longitud de Registro SPF - Verifica la longitud del registro SPF y los límites de búsqueda
• Deduplicador de Conjuntos de Registros DNS - Encuentra y elimina registros DNS duplicados
• Linter de Archivos de Zona - Verifica archivos de zona en busca de errores de sintaxis y duplicados