Desarrollo
Suite de Autenticación de Correo

DNS DKIM TXT Record Builder & Selector Helper

Cree registros DNS DKIM TXT compatibles con RFC 6376 con selector, formato de clave pública (v=DKIM1; k=rsa; p=...), división de 255 caracteres y verificación.

Privacidad 100% del lado del cliente
RFC 1035 255-Byte Safe
Preajustes:
Nombre de Host DNS:google._domainkey.example.com
RSA 1024-bit (Legacy / Deprecated)
Parámetros Avanzados RFC 6376
Algoritmo: rsaBits: 1024Caracteres clave: 332
Estado: ACTIVE
Tipo de Registro
TXT
Host / Nombre
google._domainkey
TTL (Tiempo de Vida)
3600 segundos
Valor de Registro TXT (Completo sin fragmentar):352 caracteres
v=DKIM1; s=email; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA3Q2kZ4+jX6s1aL9mB/8uI7fUvX1Q2W3E4R5T6Y7U8I9O0P1A2S3D4F5G6H7J8K9L0M1N2O3P4Q5R6S7T8U9V0W1X2Y3Z4a5b6c7d8e9f0g1h2i3j4k5l6m7n8o9p0q1r2s3t4u5v6w7x8y9z0A1B2C3D4E5F6G7H8I9J0K1L2M3N4O5P6Q7R8S9T0U1V2W3X4Y5Z6a7b8c9d0e1f2g3h4i5j6k7l8m9n0o1p2q3r4s5t6u7v8w9x0y1z2A3B4C5D6E7F8G9H0I1J2K3L4M5N6O7P8QIDAQAB
Desglose de Etiquetas RFC 6376
EtiquetaValor
v=DKIM1
k=rsa
p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A...
s=email
Tamaño del Registro: 352 bytesChunks: 2TTL: 3600s
RFC 6376 Compliant
Selector FQDN
google._domainkey.example.com
Destino de consulta para retransmisiones de correo
Algoritmo
RSA 1024-bit
RSA 1024-bit (Legacy / Deprecated)
RFC 6376 Compliance
Válido y Verificado
2 strings chunked (<255B)

Ejecución Local de Conocimiento Cero

Todo el procesamiento, análisis y generación de código se ejecutan estrictamente en la memoria del navegador. Cero subidas a servidores externos.

Motor Reactivo de Submilisegundos

All data payloads remain strictly local with zero external server communication.

Production Ready Export

Clean, optimized output formats ready for immediate deployment.

Referencia técnica y guía de arquitectura

Guía de Desarrollo: Generador de Registros DNS DKIM TXT y Selectores — Guía de referencia

Cree registros DNS DKIM TXT compatibles con RFC 6376 con selector, formato de clave pública (v=DKIM1; k=rsa; p=...), división de 255 caracteres y verificación.

Parámetros clave y controles

Selector (s)Cadena (Alfanumérico/Guión)

Prefijo que define el subdominio DNS en <selector>._domainkey.<dominio>. Permite gestionar múltiples claves de firma independientes para rotación y proveedores de correo externos.

Por defecto: default
Clave Pública (p)Cadena Base64

Clave pública ASN.1 DER SubjectPublicKeyInfo codificada en Base64. Deben eliminarse los encabezados PEM (-----BEGIN/END PUBLIC KEY-----) y los saltos de línea. Un valor vacío (p=) revoca la clave.

Por defecto: MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...
Algoritmo de Clave (k)Enumeración (rsa | ed25519)

Algoritmo criptográfico utilizado para la firma. 'rsa' ofrece compatibilidad universal con todos los MTAs; 'ed25519' (RFC 8463) genera firmas compactas con alto rendimiento computacional.

Por defecto: rsa
Indicadores de Estado (t)Indicadores (y | s | y:s | Ninguno)

Banderas de control de operación. 'y' define el modo de prueba (los servidores receptores no deben rechazar mensajes); 's' restringe la firma estrictamente al dominio principal sin abarcar subdominios.

Por defecto: Ninguno
Tipo de Servicio (s)Enumeración (* | email)

Restringe el servicio aplicable para la clave pública. 'email' limita la clave exclusivamente al correo electrónico, mientras que '*' abarca todos los servicios.

Por defecto: *

Consejos profesionales y mejores prácticas

El protocolo DNS limita las cadenas

El protocolo DNS limita las cadenas individuales de texto a un máximo de 255 octetos. Una clave pública RSA de 2048 bits genera unos 392 caracteres Base64. En archivos de zona BIND, encierre el registro entre paréntesis y divida la clave en dos cadenas entre comillas: ("v=DKIM1; k=rsa; p=parte1..." "parte2..."). Los proveedores DNS modernos las concatenan automáticamente.

Los requisitos de seguridad de Google

Los requisitos de seguridad de Google, Yahoo y las directrices M3AAWG exigen claves DKIM de al menos 2048 bits. Las claves de 1024 bits son vulnerables a ataques de factorización modernos. Evite claves de 4096 bits salvo casos excepcionales, ya que el tamaño del paquete DNS puede superar el límite UDP de 512 bytes forzando tráfico TCP.

Nunca modifique directamente una clave

Nunca modifique directamente una clave DKIM en producción. Genere un nuevo par con un selector fechado (por ejemplo, 2026q4), publique el registro DNS TXT, verifique la propagación con dig, configure el servidor de correo para firmar con 2026q4 y mantenga el selector anterior durante 7-14 días para validar correos en tránsito.

Si una clave privada es comprometida

Si una clave privada es comprometida, no se limite a eliminar el registro DNS. Publique un registro explícito 'v=DKIM1; p=' bajo dicho selector para notificar formalmente a los servidores receptores que la clave ha sido revocada de forma definitiva.

Errores comunes y solución de problemas

El servidor de destino reporta 'dkim=fail (bad signature)' o clave no encontrada

Compruebe que el registro DNS apunte exactamente a <selector>._domainkey.<dominio> (el término '._domainkey' es obligatorio). Asegúrese de haber eliminado los encabezados PEM ('-----BEGIN PUBLIC KEY-----'), saltos de línea (\r, \n) y espacios residuales del parámetro p=.

El panel de control DNS arroja error de sintaxis o mensaje 'Cadena demasiado larga'

Si su proveedor DNS no divide automáticamente registros de más de 255 caracteres, introduzca el valor dividiéndolo en dos fragmentos entre comillas dobles entre paréntesis, o migre la gestión a un proveedor con soporte nativo de fragmentación.

DKIM supera la verificación individual pero DMARC falla por desalineación (unaligned)

DMARC exige alineación de identidad entre el dominio en la etiqueta d= de la firma DKIM y el dominio visible en la cabecera 'From:'. Si utiliza plataformas de correo transaccional (SendGrid, Mailgun), configure DKIM personalizado con CNAME delegando a su propio dominio.

Preguntas frecuentes (FAQ)

¿Cuál es la diferencia fundamental entre DKIM, SPF y DMARC?▼

SPF verifica si la dirección IP emisora está autorizada para enviar correos en nombre del dominio del sobre (Return-Path). DKIM proporciona integridad criptográfica y autenticidad del remitente firmando las cabeceras y el cuerpo del mensaje. DMARC combina ambos mecanismos, comprueba la alineación con la dirección From visible e indica a los receptores qué política aplicar (none, quarantine, reject).

¿Por qué es obligatorio utilizar un selector en la configuración de DKIM?▼

El selector actúa como un espacio de nombres DNS (_domainkey) que permite a un mismo dominio gestionar múltiples claves criptográficas independientes simultáneamente. Esto permite rotar claves periódicamente sin cortes y delegar la firma a proveedores externos sin compartir la clave privada principal.

¿Cómo se divide una clave pública RSA de 2048 bits en un registro DNS TXT?▼

De acuerdo con el RFC 1035 sección 3.3.14, ninguna subcadena de un registro TXT puede superar los 255 bytes. Para publicar una clave RSA de 2048 bits (~392 caracteres), divida el valor en dos cadenas contiguas entre comillas: ("v=DKIM1; k=rsa; p=PRIMERA_PARTE..." "SEGUNDA_PARTE..."). Los servidores DNS receptores unen automáticamente ambas partes sin espacios.

¿Se pueden utilizar claves Ed25519 en lugar de RSA para DKIM?▼

Sí, el RFC 8463 estandariza DKIM con el algoritmo de curva elíptica Ed25519. Estas claves públicas ocupan solo 44 caracteres en Base64 y caben fácilmente en un único bloque de 255 bytes. No obstante, dado que algunos servidores de correo corporativos antiguos no lo soportan, la norma recomendada sigue siendo RSA de 2048 bits o firma dual (RSA y Ed25519 simultáneos).

¿Cómo verificar que un registro DKIM se ha propagado y responde correctamente en DNS?▼

Ejecute en la terminal 'dig TXT <selector>._domainkey.<dominio> +short' o 'nslookup -type=TXT <selector>._domainkey.<dominio>'. También puede enviar un correo de prueba a una cuenta externa de Gmail y comprobar en la opción 'Mostrar original' que la cabecera 'Authentication-Results' contenga 'dkim=pass'.

Herramientas y utilidades relacionadas

Todas las herramientas →
Guía para Desarrolladores del Generador de Políticas MTA-STS y Registros DNS TLS-RPTSeguridad

Referencia técnica integral y mejores prácticas para generar archivos de directivas RFC 8461 MTA-STS, registros DNS TXT _mta-sts y registros de informes RFC 8460 TLS-RPT.

Abrir herramienta→
Decodificador e Inspector de Seguridad de Tokens JWTSeguridad

Utilidad para desarrolladores que decodifica tokens JWT del lado del cliente, inspecciona claims RFC 7519 y OIDC, audita tiempos de expiración y verifica firmas HMAC localmente.

Abrir herramienta→
Generador Criptográfico de Contraseñas y Frases de PasoSeguridad

Genere contraseñas seguras de alta entropía, frases de paso memorables (Diceware), códigos PIN y tokens de API mediante la API Web Crypto CSPRNG según NIST SP 800-63B.

Abrir herramienta→
Generador de Huellas y Hash CriptográficoSeguridad

Calcule al instante valores hash SHA-256, SHA-512, MD5, SHA-1, SHA-3, Keccak y CRC32 localmente en su navegador mediante la API Web Crypto 100% segura.

Abrir herramienta→
Depurador y Verificador de Firmas JSON Web Token (JWT)Seguridad

Decodifica, inspecciona y verifica firmas HMAC (HS256/384/512) y RSA (RS256/384/512) 100% en la memoria del navegador. Cero telemetría en la nube.

Abrir herramienta→
Verificador de Fuerza de Contraseña ReferenciaSeguridad

Guía técnica para evaluar la fortaleza de contraseñas, cálculo de entropía y estimación de tiempo de vulneración.

Abrir herramienta→