--- title: "DKIM: cómo activarlo en Microsoft 365 y Google Workspace" description: "Cómo activar DKIM en Microsoft 365 y Google Workspace, el formato nuevo de Microsoft, claves de 2048 bits, rotación y servicios de terceros." url: https://lndigital.es/dkim-como-activarlo/ updated: 2026-10-21T15:33:00+00:00 --- # DKIM: cómo firmar el correo de tu empresa en Microsoft 365 y Google Workspace 21 de octubre de 20264 min de lecturaPor LN Digital **DKIM** es una firma digital que lleva cada correo que sale de tu empresa. El servidor que lo recibe la comprueba con una clave pública que publicas en tu DNS y así sabe que el mensaje sale de tu dominio y que nadie lo ha cambiado por el camino. A diferencia de SPF, la firma **sobrevive a los reenvíos**, y por eso es la pieza que más pesa para que DMARC funcione. Si quieres la visión general, la tienes en [SPF, DKIM y DMARC: qué son y por qué tus correos acaban en spam](https://lndigital.es/spf-dkim-dmarc-correo-spam/). ![DKIM: cómo firmar el correo de tu empresa en Microsoft 365 y Google Workspace](https://lndigital.es/wp-content/uploads/2026/10/dkim-como-activarlo.jpg) ## Cómo funciona, en dos líneas Tu proveedor de correo firma cada mensaje con una clave privada. La clave pública se publica en tu DNS en un nombre del tipo `selector._domainkey.tudominio.es`, donde el **selector** es una etiqueta que permite tener varias claves a la vez (por ejemplo, para cambiarlas sin cortes). En el correo, la firma indica el dominio (`d=`) y el selector (`s=`) con los que se ha firmado. ## Microsoft 365 Si no lo activas, Microsoft 365 **no firma con tu dominio**: solo firma con el `.onmicrosoft.com`, que no sirve para DMARC. Para activarlo: 1. Entra en el portal de Microsoft Defender, en la configuración de autenticación del correo, pestaña **DKIM** (security.microsoft.com/authentication; en la guía de Microsoft, _Email authentication settings_). 2. Elige tu dominio e intenta activarlo. Te dará un error con los dos registros que faltan: son **dos CNAME**, `selector1._domainkey` y `selector2._domainkey`. 3. **Copia los valores tal como te los da Microsoft** y créalos en el DNS de tu dominio. Microsoft insiste en no escribirlos a mano: cambian de un dominio a otro. 4. Vuelve a la ficha del dominio y activa la firma DKIM. Microsoft puede tardar unos minutos (o más) en detectar los registros. Dos detalles importantes: - **Desde mayo de 2025 el formato es nuevo** para los dominios que se añaden a Microsoft 365: el CNAME apunta a un nombre que termina en `dkim.mail.microsoft`. Los dominios que ya estaban siguen con el formato antiguo, que termina en `onmicrosoft.com`. Por eso no sirve copiar los registros de otro dominio o de una guía antigua. - Son **CNAME, no TXT**: con un CNAME, Microsoft se encarga de las claves. Un TXT obligaría a gestionarlas a mano, y Microsoft no lo admite. ## Google Workspace 1. En la consola de administración de Google, entra en la autenticación del correo de Gmail (en la guía de Google: _Apps > Google Workspace > Gmail > Authenticate email_). 2. Elige el dominio y genera un registro nuevo. Elige una clave de **2048 bits** si tu proveedor de DNS lo admite (si no, de 1024). El selector por defecto es `google`. 3. Publica el registro TXT en tu DNS, en `google._domainkey.tudominio.es`. Google avisa de que no hay que activar todavía la autenticación. 4. Cuando el registro esté publicado, activa la autenticación. Puede tardar hasta 48 horas en funcionar; en dominios recién dados de alta, la clave puede no estar disponible hasta pasadas 24-72 horas. Una clave de 2048 bits no cabe en una sola cadena de 255 caracteres. Google explica que hay que **partirla en varias cadenas**, cada una entre comillas; si tu proveedor de DNS no lo permite, usa la de 1024. ## El tamaño de la clave El estándar (RFC 8301) exige claves de **al menos 1024 bits** y recomienda **2048**. Ojo con Microsoft 365: si generas la configuración por PowerShell, la clave por defecto es de 1024 bits; se puede pasar a 2048 al rotarla. ## Cambiar las claves (rotación) El estándar de DKIM no fija cada cuánto cambiar la clave, pero explica que los selectores existen precisamente para poder sustituirlas con normalidad y desaconseja reutilizar un selector con una clave nueva. El grupo de trabajo antiabuso M3AAWG recomienda rotarlas **al menos cada seis meses** y mantener la clave vieja publicada entre 7 y 30 días antes de retirarla. - En **Microsoft 365** se hace desde la ficha del dominio en el portal (o con PowerShell), y la clave nueva tarda **96 horas** en empezar a firmar. - En **Google Workspace**, se genera un registro nuevo con otro selector, se publica y se activa. ## Los servicios que envían en tu nombre La herramienta de newsletters o la tienda también tienen que firmar con **tu** dominio. Microsoft explica que muchos servicios firman con su propio dominio y, a veces, también con el tuyo; si solo firman con el suyo, DKIM «pasa», pero no cuenta para DMARC porque no coincide con tu remitente. La solución es activar en cada servicio su **autenticación de dominio**: - **Amazon SES** añade tres CNAME y firma con clave de 2048 bits. - **SendGrid** usa dos CNAME (`s1._domainkey` y `s2._domainkey`). - **Mailchimp Transactional (Mandrill)** usa dos CNAME (`mte1._domainkey` y `mte2._domainkey`). - **Mailchimp** pide dos CNAME, con los valores que da su panel. - **Brevo** usa un TXT o dos CNAME para DKIM, además de su «código Brevo» y de DMARC. ## Errores típicos - **El dominio repetido en el nombre**: algunos proveedores de DNS añaden el dominio solos y el registro acaba como `selector1._domainkey.tudominio.es.tudominio.es`. - **Falta el segundo selector** de Microsoft: la rotación falla. - **«body hash did not verify»**: el mensaje se ha modificado después de firmarse, por ejemplo por un sistema que añade un pie a todos los correos. - **Probar enviando entre direcciones del mismo dominio**: Microsoft no firma esos correos; prueba enviando a una cuenta de Gmail o de Outlook.com. ## Cómo comprobarlo En las cabeceras de un correo enviado a una cuenta externa busca `DKIM-Signature` (con tu dominio en `d=`) y, en `Authentication-Results`, `dkim=pass`. O pasa tu dominio por nuestro [analizador de correo](https://lndigital.es/herramientas/analizador-correo/). Siguiente paso: [DMARC, cómo pasar de p=none a p=reject sin perder correos](https://lndigital.es/dmarc-como-configurarlo/). Y si no lo has hecho, [repasa tu SPF](https://lndigital.es/spf-como-configurarlo/). ## Preguntas frecuentes ### ¿Si tengo SPF, necesito DKIM? Sí. SPF se rompe con los reenvíos y la firma DKIM no. Además, Gmail y Yahoo exigen los dos a quien envía muchos correos. ### ¿Puedo tener varias claves DKIM a la vez? Sí, con selectores distintos. Es lo normal cuando envían varios servicios o mientras se cambia una clave. ## ¿Te lo activamos? En LN Digital configuramos SPF, DKIM y DMARC para que tus correos no acaben en spam y nadie pueda hacerse pasar por ti, dentro de nuestro [mantenimiento de servidores](https://lndigital.es/mantenimiento-de-servidores/). [Escríbenos](https://lndigital.es/contacto/). ## Fuentes Consultadas el 20 de octubre de 2026. - [RFC 6376 (DKIM)](https://www.rfc-editor.org/rfc/rfc6376.html), secciones 3.1, 3.6 y 5.2, y [RFC 8301](https://www.rfc-editor.org/rfc/rfc8301.html). - Microsoft Learn: [configurar DKIM](https://learn.microsoft.com/es-es/defender-office-365/email-authentication-dkim-configure). - Google Workspace: [configurar DKIM](https://knowledge.workspace.google.com/admin/security/set-up-dkim?hl=es) y [solucionar problemas de DKIM](https://knowledge.workspace.google.com/admin/security/troubleshoot-dkim-issues?hl=es). - [M3AAWG: buenas prácticas de rotación de claves DKIM](https://m3aawg.org/DKIMKeyRotation) (marzo de 2019). - [Amazon SES: Easy DKIM](https://docs.aws.amazon.com/ses/latest/dg/send-email-authentication-dkim-easy.html), [SendGrid: autenticación de dominio](https://www.twilio.com/docs/sendgrid/ui/account-and-settings/how-to-set-up-domain-authentication), [Mailchimp Transactional: autenticación](https://mailchimp.com/developer/transactional/docs/authentication-delivery/) y [Mailchimp: autenticación del dominio](https://mailchimp.com/help/set-up-email-domain-authentication/) y [Brevo: autenticar tu dominio](https://help.brevo.com/hc/en-us/articles/12163873383186). Herramienta relacionada - [Analizador de correo](https://lndigital.es/herramientas/analizador-correo/) [¿Tus correos acaban en spam? Analiza el correo de tu dominio: si recibe bien y si alguien puede hacerse pasar por ti (SPF, DKIM y DMARC), y los registros exactos para arreglarlo.](https://lndigital.es/herramientas/analizador-correo/) [Analizar mi correo →](https://lndigital.es/herramientas/analizador-correo/) ## Compartir la entrada [](https://www.facebook.com/sharer.php?u=https://lndigital.es/dkim-como-activarlo/) [](https://www.linkedin.com/shareArticle?mini=true\&url=https://lndigital.es/dkim-como-activarlo/\&title=DKIM%3A%20c%C3%B3mo%20activarlo%20en%20Microsoft%20365%20y%20Google%20Workspace\&summary=\&source=https://lndigital.es/dkim-como-activarlo/) [](https://twitter.com/intent/tweet?text=%20https://lndigital.es/dkim-como-activarlo/) [Entrada Anterior](https://lndigital.es/spf-dkim-dmarc-correo-spam/) [Siguiente Entrada](https://lndigital.es/dmarc-como-configurarlo/) ## Otras entradas [![SPF: qué es y cómo configurarlo bien en Microsoft 365 y Google Workspace](https://lndigital.es/wp-content/uploads/2026/10/spf-como-configurarlo.jpg)](https://lndigital.es/spf-como-configurarlo/) ### [SPF: qué es y cómo configurarlo bien en Microsoft 365 y Google Workspace](https://lndigital.es/spf-como-configurarlo/) [Leer entrada](https://lndigital.es/spf-como-configurarlo/) [![DMARC: cómo pasar de p=none a p=reject sin perder correos](https://lndigital.es/wp-content/uploads/2026/10/dmarc-como-configurarlo.jpg)](https://lndigital.es/dmarc-como-configurarlo/) ### [DMARC: cómo pasar de p=none a p=reject sin perder correos](https://lndigital.es/dmarc-como-configurarlo/) [Leer entrada](https://lndigital.es/dmarc-como-configurarlo/) [![SPF, DKIM y DMARC: qué son y por qué tus correos acaban en spam](https://lndigital.es/wp-content/uploads/2026/10/spf-dkim-dmarc-correo-spam.jpg)](https://lndigital.es/spf-dkim-dmarc-correo-spam/) ### [SPF, DKIM y DMARC: qué son y por qué tus correos acaban en spam](https://lndigital.es/spf-dkim-dmarc-correo-spam/) [Leer entrada](https://lndigital.es/spf-dkim-dmarc-correo-spam/)