Encuentra las claves públicas DKIM que publica un dominio y comprueba que sean lo bastante robustas. Escribe tu selector si lo conoces — o deja que probemos más de 30 selectores usados por Google Workspace, Microsoft 365, Mailchimp, SendGrid, Brevo y otras plataformas.
Informe DKIM de
Todos los selectores que probamos devuelven una clave vacía (revocada). Lo más probable es que el dominio publique un registro comodín que revoca DKIM para cualquier selector — habitual en dominios que no envían ningún email.
| Selector | Nombre DNS | Tipo de clave | Tamaño de clave | Estado |
|---|
Una clave revocada tiene la etiqueta p= vacía: el selector se desactivó a propósito y las firmas hechas con él fallan. Es normal tras una rotación de claves.
Unos registros perfectos no evitan los rebotes. Enviar a direcciones inválidas, desechables o abandonadas daña tu reputación de remitente y puede meter tu IP en listas negras. Valida tu lista antes de la próxima campaña.
DKIM (DomainKeys Identified Mail, RFC 6376) permite que un dominio firme los emails que envía. Tu plataforma de envío añade una cabecera DKIM-Signature generada con una clave privada; la clave pública correspondiente se publica en el DNS, como registro TXT en selector._domainkey.tudominio.
El servidor receptor obtiene esa clave pública y verifica la firma. Una firma válida demuestra que el mensaje no se alteró por el camino y que el dominio firmante se hace responsable de él. Gmail, Yahoo y Outlook exigen DKIM a los remitentes masivos, y DMARC depende de él.
El selector es la etiqueta que indica al receptor qué clave debe buscar, así que un dominio puede tener varias claves a la vez — una por plataforma de envío, o una antigua y una nueva durante una rotación.
El DNS no permite listar todos los selectores de un dominio, de modo que ninguna herramienta puede descubrir todas las claves por sí sola. Lo fiable es abrir un mensaje que hayas enviado, ver sus cabeceras originales y buscar la línea DKIM-Signature: s= es el selector y d= el dominio firmante.
DKIM-Signature: v=1; a=rsa-sha256; d=tuempresa.com; s=google; …Los selectores de abajo son los predeterminados de las plataformas más populares. Algunos proveedores generan un selector por cuenta, así que la última palabra la tiene tu consola de administración.
| Proveedor | Selector(es) |
|---|---|
| Google Workspace | |
| Microsoft 365 | selector1, selector2 |
| Mailchimp | k1 (configuraciones antiguas), k2, k3 |
| Mailchimp Transactional (Mandrill) | mandrill |
| SendGrid | s1, s2 |
| Brevo | brevo1, brevo2 |
| HubSpot | hs1, hs2 (algunas cuentas añaden un sufijo numérico) |
| Proton Mail | protonmail, protonmail2, protonmail3 |
| Fastmail | fm1, fm2, fm3 |
| Amazon SES | Tres tokens aleatorios por dominio (Easy DKIM) — cópialos desde la consola de SES |
| Zoho Mail | Lo eliges al crear la clave en la consola de administración de Zoho Mail |
La RFC 8301 exige claves de al menos 1024 bits y recomienda 2048. Los grandes proveedores ignoran las claves de menos de 1024 bits; las de 1024 bits siguen funcionando, pero se consideran débiles. Si tu proveedor de DNS limita la longitud del TXT, divide la clave en varias cadenas entre comillas dentro del mismo registro.
La RFC 8463 añade claves Ed25519, cortas y modernas, pero muchos receptores aún no las verifican. Si usas una, firma también con una clave RSA.
Para retirar un selector, publica su registro con la clave pública vacía (p=). Los receptores tratarán las firmas hechas con él como no válidas, y cualquiera podrá ver que la clave se retiró a propósito.
Publica un selector nuevo, configura tu plataforma para firmar con él, espera unos días a que lleguen los mensajes en tránsito y revoca el antiguo. Muchos equipos rotan cada 6 a 12 meses.
Sí. Puedes hacer 30 comprobaciones al día sin cuenta (compartidas con el verificador de SPF, DKIM y DMARC). La herramienta solo lee registros DNS públicos.
Porque las claves DKIM solo se pueden encontrar conociendo el selector, y tu plataforma puede usar uno que no probamos. Abre un mensaje que hayas enviado, busca el valor s= en su cabecera DKIM-Signature y escríbelo. Asegúrate también de que tu plataforma firme con tu propio dominio (d=tudominio) y no con el suyo.
En la cabecera DKIM-Signature de cualquier mensaje que hayas enviado: s= es el selector y d= el dominio. Gmail lo muestra en “Mostrar original”; Outlook, en “View message source” (ver el código fuente del mensaje). La página de configuración DNS de tu plataforma de envío también lo indica.
De 2048 bits. Las claves de 1024 bits aún se aceptan, pero se consideran débiles, y Gmail y otros grandes proveedores ignoran las de menos de 1024 bits.
El registro existe, pero su etiqueta p= está vacía, lo que desactiva ese selector a propósito. Es normal en una clave antigua tras una rotación. Si tu plataforma sigue firmando con ese selector, sus firmas fallarán.
Sí — una por selector. Es habitual tener una por plataforma de envío (por ejemplo, Google Workspace para el correo del equipo y una herramienta de email marketing para las campañas), cada una con su propio selector.
No. Gmail, Yahoo y Outlook también esperan SPF y una política DMARC, alineados con el dominio de tu dirección From — y una lista limpia, porque los rebotes y las quejas dañan tu reputación diga lo que diga tu DNS.
Normalmente minutos, pero los resolvedores pueden guardar en caché la respuesta anterior hasta que caduque su TTL. Nuestros resultados se guardan en caché 10 minutos, así que espera un poco antes de volver a comprobar.
Una cuenta gratis incluye 200 créditos (10 para emails de proveedores gratuitos) para validar listas de forma masiva, mediante la API REST o en tiempo real en tus formularios.
Crear cuenta gratis — 200 créditosSin tarjeta de crédito. Los créditos no caducan.