29 Sep 20266 minutes read
SendmarcCómo diagnosticar un fallo de DKIM: guía por capas para empresas
Resumen del fallo de DKIM:
- El diagnóstico sigue una secuencia: delimitar el alcance, aislar el DNS, validar la configuración de firma y, por último, la integridad de los encabezados.
- La ausencia de firma suele apuntar a una configuración de firma incorrecta; una firma no válida suele apuntar al DNS o a la gestión de claves.
- Los retrasos de propagación del DNS y los desajustes de selector son causas habituales que no aparecen como errores en el panel.
- El reenvío y las listas de correo pueden invalidar una firma válida sin que exista ninguna configuración incorrecta.
- Los fallos de DKIM sin resolver degradan la entrega, bloquean a los remitentes al aplicar DMARC y generan exposición en auditorías.
Su firma DKIM está fallando la validación. Un vistazo rápido a su plataforma y al DNS no revela nada obviamente incorrecto. Encontrar la causa real exige revisar cada capa en secuencia.
Un fallo de DKIM rara vez es una única configuración incorrecta que se pueda corregir en cinco minutos. En entornos empresariales, suele deberse a una de unas pocas causas raíz.
Antes de recorrer las capas siguientes, confirme qué muestran realmente sus registros DNS. Use la consulta DKIM de Sendmarc para comprobar su registro activo.
Por qué un fallo de DKIM rara vez significa lo que parece
La explicación superficial de un fallo de DKIM casi siempre es incompleta. Una clave pública ausente en el DNS, un selector que no coincide o una configuración de firma defectuosa son descripciones acertadas del síntoma técnico. Rara vez explican por qué existe la causa de fondo ni desde cuándo está ahí.
En sectores regulados como los servicios financieros, la sanidad y las telecomunicaciones, los fallos de DKIM suelen persistir durante semanas o meses porque:
- Ningún equipo es responsable de forma integral tanto del DNS como de la configuración de la plataforma de correo
- La proliferación de subdominios hace que aparezcan nuevos flujos de correo sin la configuración de autenticación correspondiente
- Las migraciones de plataforma dejan selectores obsoletos que siguen apareciendo en el DNS pero ya no coinciden con las claves de firma activas
- Los remitentes externos se incorporan operativamente, pero nunca se autentican formalmente
La consecuencia no es solo una comprobación DMARC fallida. Un fallo de DKIM sin resolver degrada la entrega del correo legítimo, rompe el pilar DKIM de la tríada SPF/DKIM/DMARC y genera exposición en auditorías en entornos donde las salvaguardas técnicas se revisan frente a las obligaciones de los marcos normativos.
En los servicios financieros y la sanidad en particular, los reguladores y auditores piden cada vez más evidencias de que los controles de autenticación del correo funcionan, no solo declaraciones de política.
Antes de tocar ningún registro, recorra en orden las capas de diagnóstico siguientes.
Marco de diagnóstico de un fallo de DKIM
Capa 1: confirme el alcance y el origen del fallo de DKIM
Empiece por definir exactamente qué está fallando. Los reportes agregados de DMARC son la fuente más fiable para ello. Muestran qué fuentes producen fallos de DKIM, qué selectores se usan y si el resultado de DKIM es temperror, un fallo transitorio, o permerror.
En esta capa, confirme tres cosas:
- Si el fallo se limita a una fuente de envío o está distribuido
- Si DKIM falla por completo, sin ninguna firma presente, o produce una firma DKIM no válida
- Si SPF también falla para los mismos mensajes, o solo DKIM
Un fallo en el que no hay ninguna firma apunta a un problema de configuración de firma. En cambio, una firma DKIM no válida, es decir, una que está presente pero no se valida, apunta a un problema de DNS o de gestión de claves. Cada caso requiere una vía de corrección distinta.
Si todavía no dispone de reportes DMARC, el siguiente paso inmediato es comprobar qué está publicando actualmente el DNS. Un resultado ausente o vacío confirma que el registro no existe. Un resultado mal formado confirma un problema de sintaxis del registro y no una clave ausente.
Capa 2: aísle la capa de DNS
Propagación del DNS
La causa más pasada por alto de un fallo de DKIM en entornos empresariales no es una configuración incorrecta en el sentido tradicional. Es un problema de propagación: la propagación del DNS aún no se ha completado a nivel global.
La propagación del DNS de los nuevos registros DKIM puede tardar hasta 48 horas y, durante ese periodo, los servidores receptores de distintas regiones pueden consultar servidores de nombres autoritativos diferentes y obtener resultados distintos. Esto produce patrones de fallo parcial que parecen intermitentes y son difíciles de reproducir en las pruebas.
Desajuste de selector entre la plataforma y el DNS
Las migraciones de plataforma son una fuente habitual de fallos de DKIM relacionados con el selector. Cuando una organización rota o migra su infraestructura de firma, genera un nuevo selector DKIM. Si ese nuevo selector aún no se ha publicado en el DNS, los servidores receptores lo consultan, no encuentran nada y la firma no supera la validación.
Compruebe qué selector está usando actualmente su plataforma y confirme que ese selector existe. Si no coinciden, la solución es publicar el nuevo selector o reconfigurar la plataforma para que use el selector que ya está en el DNS.
Capa 3: valide la configuración de firma
Si el registro DNS está presente, tiene el formato correcto y el selector coincide, es probable que el fallo se origine en la configuración de firma y no en el DNS.
En la capa de la plataforma, examine:
- Si la firma DKIM está habilitada para el dominio de envío concreto
- Si la longitud de la clave cumple los requisitos actuales de los servidores receptores
- Si la clave privada almacenada en la plataforma coincide con la clave pública publicada en el DNS
Un desajuste entre la clave con la que firma la plataforma y la que publica el DNS no siempre es visible. La plataforma puede mostrar DKIM como habilitado y configurado mientras en realidad firma con una clave que no tiene una clave pública válida correspondiente en el DNS, casi siempre porque las claves se rotaron en un lado sin actualizar el otro.
Esto produce una firma DKIM no válida que, desde la perspectiva de la plataforma, parece indicar que todo está bien.
Capa 4: validación de encabezados y escenarios de reenvío
No todos los fallos de DKIM se originan en una configuración incorrecta. El reenvío de correo, el procesamiento de listas de correo y ciertas puertas de enlace modifican el contenido del mensaje de formas que invalidan la firma DKIM. Se trata de un fallo de integridad de validación, no de un fallo de configuración, y requiere una respuesta distinta a la de corregir en origen una firma DKIM no válida.
Si los fallos de DKIM se concentran en el correo reenviado, la propia firma puede ser técnicamente correcta. El fallo se produce porque el mensaje se modificó en tránsito.
En estos casos, el enfoque recomendado es configurar la Cadena de Recepción Autenticada (ARC) cuando proceda.
El riesgo en cascada de un fallo de DKIM sin resolver
Dejar un fallo de DKIM sin resolver tiene un efecto acumulativo. A corto plazo, degrada la entrega del correo legítimo. Los proveedores de buzones tienen en cuenta las señales de autenticación en sus decisiones de filtrado, y los fallos de DKIM persistentes reducen la reputación del remitente con el tiempo.
Los fallos de DKIM sin resolver también dificultan el paso a la aplicación de DMARC. Pasar a una política p=reject mientras remitentes legítimos aún tienen fallos de DKIM sin resolver bloqueará flujos de correo. Ese resultado es operativamente disruptivo y genera presión para revertir la aplicación.
En entornos regulados, el riesgo a largo plazo es la exposición en auditorías. Los controles técnicos de autenticación del correo son cada vez más visibles para los equipos de cumplimiento y los auditores externos, en particular bajo marcos que exigen evidencias de salvaguardas técnicas adecuadas. Un fallo de autenticación que persiste sin detectarse durante varios periodos de reporte es más difícil de explicar que uno recién descubierto.
Cómo puede ayudar Sendmarc
El diagnóstico sistemático de un fallo de DKIM a escala empresarial requiere visibilidad sobre todos los dominios, subdominios y fuentes de envío a la vez, no una investigación fuente por fuente cada vez que surge uno.
Sendmarc muestra los resultados de alineación DKIM por fuente en todo su inventario de dominios, hace seguimiento de los selectores e indica dónde falta la firma de la plataforma.
Esa visibilidad reduce la carga de investigación manual de los equipos de seguridad y TI que ya van justos de tiempo, y le da la tranquilidad de que diagnosticar el siguiente fallo no consumirá un tiempo que podría dedicarse a otras tareas.
Explore la Gestión de DMARC para ver cómo Sendmarc hace seguimiento de la firma DKIM, los selectores y la alineación en toda su cartera de dominios, de modo que el próximo fallo de DKIM sea más fácil de aislar que el anterior.
