DKIM: cómo firmar el correo de tu empresa en Microsoft 365 y Google Workspace

DKIM es una firma digital que lleva cada correo que sale de tu empresa. El servidor que lo recibe la comprueba con una clave pública que publicas en tu DNS y así sabe que el mensaje sale de tu dominio y que nadie lo ha cambiado por el camino. A diferencia de SPF, la firma sobrevive a los reenvíos, y por eso es la pieza que más pesa para que DMARC funcione. Si quieres la visión general, la tienes en SPF, DKIM y DMARC: qué son y por qué tus correos acaban en spam.

Tu proveedor de correo firma cada mensaje con una clave privada. La clave pública se publica en tu DNS en un nombre del tipo selector._domainkey.tudominio.es, donde el selector es una etiqueta que permite tener varias claves a la vez (por ejemplo, para cambiarlas sin cortes). En el correo, la firma indica el dominio (d=) y el selector (s=) con los que se ha firmado.

Si no lo activas, Microsoft 365 no firma con tu dominio: solo firma con el .onmicrosoft.com, que no sirve para DMARC. Para activarlo:

1. Entra en el portal de Microsoft Defender, en la configuración de autenticación del correo, pestaña DKIM (security.microsoft.com/authentication; en la guía de Microsoft, Email authentication settings).
2. Elige tu dominio e intenta activarlo. Te dará un error con los dos registros que faltan: son dos CNAME, selector1._domainkey y selector2._domainkey.
3. Copia los valores tal como te los da Microsoft y créalos en el DNS de tu dominio. Microsoft insiste en no escribirlos a mano: cambian de un dominio a otro.
4. Vuelve a la ficha del dominio y activa la firma DKIM. Microsoft puede tardar unos minutos (o más) en detectar los registros.

Dos detalles importantes:

• Desde mayo de 2025 el formato es nuevo para los dominios que se añaden a Microsoft 365: el CNAME apunta a un nombre que termina en dkim.mail.microsoft. Los dominios que ya estaban siguen con el formato antiguo, que termina en onmicrosoft.com. Por eso no sirve copiar los registros de otro dominio o de una guía antigua.
• Son CNAME, no TXT: con un CNAME, Microsoft se encarga de las claves. Un TXT obligaría a gestionarlas a mano, y Microsoft no lo admite.

1. En la consola de administración de Google, entra en la autenticación del correo de Gmail (en la guía de Google: Apps > Google Workspace > Gmail > Authenticate email).
2. Elige el dominio y genera un registro nuevo. Elige una clave de 2048 bits si tu proveedor de DNS lo admite (si no, de 1024). El selector por defecto es google.
3. Publica el registro TXT en tu DNS, en google._domainkey.tudominio.es. Google avisa de que no hay que activar todavía la autenticación.
4. Cuando el registro esté publicado, activa la autenticación. Puede tardar hasta 48 horas en funcionar; en dominios recién dados de alta, la clave puede no estar disponible hasta pasadas 24-72 horas.

Una clave de 2048 bits no cabe en una sola cadena de 255 caracteres. Google explica que hay que partirla en varias cadenas, cada una entre comillas; si tu proveedor de DNS no lo permite, usa la de 1024.

El estándar (RFC 8301) exige claves de al menos 1024 bits y recomienda 2048. Ojo con Microsoft 365: si generas la configuración por PowerShell, la clave por defecto es de 1024 bits; se puede pasar a 2048 al rotarla.

El estándar de DKIM no fija cada cuánto cambiar la clave, pero explica que los selectores existen precisamente para poder sustituirlas con normalidad y desaconseja reutilizar un selector con una clave nueva. El grupo de trabajo antiabuso M3AAWG recomienda rotarlas al menos cada seis meses y mantener la clave vieja publicada entre 7 y 30 días antes de retirarla.

• En Microsoft 365 se hace desde la ficha del dominio en el portal (o con PowerShell), y la clave nueva tarda 96 horas en empezar a firmar.
• En Google Workspace, se genera un registro nuevo con otro selector, se publica y se activa.

La herramienta de newsletters o la tienda también tienen que firmar con tu dominio. Microsoft explica que muchos servicios firman con su propio dominio y, a veces, también con el tuyo; si solo firman con el suyo, DKIM «pasa», pero no cuenta para DMARC porque no coincide con tu remitente. La solución es activar en cada servicio su autenticación de dominio:

• Amazon SES añade tres CNAME y firma con clave de 2048 bits.
• SendGrid usa dos CNAME (s1._domainkey y s2._domainkey).
• Mailchimp Transactional (Mandrill) usa dos CNAME (mte1._domainkey y mte2._domainkey).
• Mailchimp pide dos CNAME, con los valores que da su panel.
• Brevo usa un TXT o dos CNAME para DKIM, además de su «código Brevo» y de DMARC.

• El dominio repetido en el nombre: algunos proveedores de DNS añaden el dominio solos y el registro acaba como selector1._domainkey.tudominio.es.tudominio.es.
• Falta el segundo selector de Microsoft: la rotación falla.
• «body hash did not verify»: el mensaje se ha modificado después de firmarse, por ejemplo por un sistema que añade un pie a todos los correos.
• Probar enviando entre direcciones del mismo dominio: Microsoft no firma esos correos; prueba enviando a una cuenta de Gmail o de Outlook.com.

En las cabeceras de un correo enviado a una cuenta externa busca DKIM-Signature (con tu dominio en d=) y, en Authentication-Results, dkim=pass. O pasa tu dominio por nuestro analizador de correo.

Siguiente paso: DMARC, cómo pasar de p=none a p=reject sin perder correos. Y si no lo has hecho, repasa tu SPF.

Sí. SPF se rompe con los reenvíos y la firma DKIM no. Además, Gmail y Yahoo exigen los dos a quien envía muchos correos.

Sí, con selectores distintos. Es lo normal cuando envían varios servicios o mientras se cambia una clave.

En LN Digital configuramos SPF, DKIM y DMARC para que tus correos no acaben en spam y nadie pueda hacerse pasar por ti, dentro de nuestro mantenimiento de servidores. Escríbenos.

Consultadas el 20 de octubre de 2026.

• RFC 6376 (DKIM), secciones 3.1, 3.6 y 5.2, y RFC 8301.
• Microsoft Learn: configurar DKIM.
• Google Workspace: configurar DKIM y solucionar problemas de DKIM.
• M3AAWG: buenas prácticas de rotación de claves DKIM (marzo de 2019).
• Amazon SES: Easy DKIM, SendGrid: autenticación de dominio, Mailchimp Transactional: autenticación y Mailchimp: autenticación del dominio y Brevo: autenticar tu dominio.