Gestión de registros DKIM: cómo construir un proceso documentado

Tu registro DKIM está en producción. Normalmente no hay constancia de quién lo añadió, cuándo ni por qué.

DKIM se configura durante el alta de una plataforma de correo, alguien de TI lo añade al DNS, y en general nunca se documenta de forma formal. Funciona hasta que deja de hacerlo. Entonces un fallo de autenticación aparece en un informe DMARC, un auditor de cumplimiento pide el registro de cambios, o una rotación de claves se pierde por el camino.

Saber cómo añadir un registro DKIM es el punto de partida. Lo que viene después es hacer que la gestión de registros DKIM sea repetible y auditable. Esta guía está escrita para CISOs y administradores de correo que ya entienden qué hace DKIM y necesitan operacionalizarlo a escala, en varios dominios, varios remitentes e infraestructura distribuida.

La plataforma de Sendmarc rastrea los selectores DKIM, el estado de firma y los resultados de autenticación en todos los dominios, convirtiendo la documentación dispersa en un registro único y actualizado. Descubre nuestra solución de gestión de DKIM para ver cómo funcionan en la práctica el rastreo y la visibilidad de selectores.

Por qué los registros DKIM necesitan un proceso de cambio documentado

DKIM firma el correo saliente con una clave privada que conserva la plataforma de envío. La clave pública correspondiente se publica en el DNS como un registro TXT. Los servidores receptores recuperan esa clave pública y verifican la firma. Una firma válida confirma tanto que el mensaje procede de un remitente autorizado como que su contenido no se ha alterado.

El mecanismo técnico se entiende bien. Lo que se entiende menos es el lado operativo: si tu equipo de seguridad puede rastrear, seis meses después, cómo y por qué se añadió, cambió o eliminó un registro DKIM.

Para organizaciones de sectores regulados, incluyendo servicios financieros, sanidad y el sector legal, esto no es hipotético. Los requisitos de gestión de cambios de DNS exigen que las modificaciones se registren, se aprueben y sean atribuibles. Un registro DKIM añadido fuera de una ventana formal de cambio, o una clave rotada sin documentación, es un hallazgo de auditoría a la espera de ocurrir.

Establece este proceso de gestión de cambios de DNS antes de configurar nada.

Anatomía del registro DKIM: qué hace cada campo

Tanto quien configura el registro como el auditor que lo revisa necesitan entender su estructura.

Un registro TXT DKIM típico se ve así:

Esto es lo que significa cada componente:

Este registro se publica en un nombre de host como selector._domainkey.yourdomain.com. El selector no forma parte del valor del registro en sí. Es el identificador que indica a los receptores qué clave pública recuperar.

Los selectores son cadenas arbitrarias elegidas por el remitente o la plataforma. Te permiten operar varias claves DKIM a la vez.

Nombrar los selectores de forma descriptiva (p. ej., marketing2026, salesaug) en lugar de genérica (p. ej., s1, k1) hace que tu DNS sea mucho más auditable.

Cómo construir un flujo de gestión de registros DKIM documentado

La gestión de registros DKIM funciona mejor como un proceso de cambio continuo y documentado.

Paso 1: documenta el inventario de remitentes antes de añadir nada

Cada registro DKIM se corresponde con una plataforma de envío. Antes de tocar el DNS, elabora una lista de todas las plataformas autorizadas a enviar correo en nombre del dominio. Automatización de marketing, CRM, herramientas de correo transaccional, sistemas de tickets de soporte.

En entornos empresariales, esta lista rara vez está completa a la primera. Las fusiones y adquisiciones introducen remitentes heredados. Nuevas herramientas son adoptadas por unidades de negocio concretas sin visibilidad central de TI.

Este inventario se convierte en la fuente de verdad de tu registro de selectores DKIM, el documento interno que mapea cada selector a su plataforma, responsable y fecha de creación.

Paso 2: genera las claves a través de la plataforma

La mayoría de las plataformas de envío generan el par de claves DKIM por ti. La plataforma conserva la clave privada; tú publicas la clave pública en el DNS.

Para las plataformas que exigen gestionar las claves de forma externa, documenta el método de generación de claves, la herramienta utilizada y dónde se almacena la clave privada. Trata el almacenamiento de la clave privada como cualquier otra credencial sensible.

Paso 3: canaliza la actualización a través de la gestión de cambios de DNS

Las altas de registros DKIM deberían seguir el mismo proceso de gestión de cambios de DNS que cualquier otra modificación de DNS. Eso implica una solicitud de cambio, un aprobador, una ventana programada y un plan de reversión. También implica que el cambio queda registrado en tu sistema, que es exactamente lo que un auditor pedirá para verificar que tus cambios de autenticación de correo fueron deliberados.

Paso 4: verifica antes de continuar

La propagación de DNS suele completarse en minutos u horas, pero la verificación no debería dejarse a la suposición. Usa un comprobador de registros DKIM para confirmar que el registro se ha publicado correctamente y sin errores de sintaxis o formato.

La verificación es también el momento de confirmar que la convención de nombres de selectores es coherente con tu registro de selectores.

Monitorización y traspaso

El despliegue no es el final del proceso. Los registros DKIM se desvían. Las claves envejecen. Se añaden selectores nuevos.

La monitorización continua debería cubrir tres cosas:

Cuando la responsabilidad de un dominio cambia de equipo (en una reorganización, una adquisición o un acuerdo de externalización), el registro de selectores DKIM debería traspasarse como un documento formal. El equipo receptor debería verificar cada selector activo frente al inventario actual de remitentes antes de aceptar la titularidad.

Cómo ayuda Sendmarc

Gestionar selectores DKIM en decenas de dominios y varias plataformas de envío de forma manual depende de una documentación difícil de mantener bajo la carga habitual de TI, y aún más difícil de sostener ante reorganizaciones, adquisiciones o migraciones de plataforma.

Sendmarc da a los equipos de cumplimiento y seguridad visibilidad en todos los dominios, para que los problemas de autenticación aparezcan en los informes y no como un hallazgo de auditoría. La plataforma respalda el reporting y el rastro de auditoría que los CISOs y responsables de cumplimiento necesitan para demostrar una autenticación de correo controlada y documentada ante comités de riesgo internos, auditores externos y mandatos en evolución como PCI DSS, GDPR, POPIA, ISO y NIST.

Para los equipos de seguridad y TI que ya van con lo justo, esa misma visibilidad se traduce en menos tiempo dedicado a rastrear configuraciones incorrectas plataforma por plataforma.

Descubre nuestra solución de gestión de DKIM para ver cómo construimos el rastro de auditoría que tu equipo de cumplimiento necesita, sin el mantenimiento manual.