DKIM falla cuando el receptor no puede verificar la firma del mensaje contra la clave pública de tu DNS. Las causas habituales son un selector ausente o incorrecto, una clave pública revocada (vacía), la modificación del cuerpo en tránsito (p. ej., por una lista de correo) o que el dominio firmante no se alinee con tu dominio De:. Cada una tiene una solución concreta.
Las claves DKIM viven en {selector}._domainkey.tudominio.com. El selector lo elige tu plataforma de envío (p. ej., google en Google Workspace, selector1/selector2 en Microsoft 365). Si compruebas el selector equivocado verás un falso fallo.
Sin registro / selector incorrecto: publica el registro TXT exacto de tu proveedor en el selector exacto. Clave revocada (p= vacío): la clave se rotó o deshabilitó; vuelve a activar DKIM y publícala de nuevo. Cuerpo modificado: un reenviador o pie de lista cambió el mensaje tras firmarlo; apóyate en la alineación DMARC+DKIM. Sin alinear: el dominio firmante debe coincidir con tu dominio De: (o ser un subdominio) para que DMARC pase.
En un correo recibido, abre las cabeceras y lee la línea DKIM-Signature: d= es el dominio firmante y s= es el selector. Así sabes exactamente qué clave consultar.
Reemplace google con su selector:
$ dig TXT google._domainkey.yourdomain.com +shortComprueba tu registro DKIM ahora
Abrir el verificador DKIM gratuito →Mira las cabeceras de un correo recibido buscando d= y s= en la línea DKIM-Signature, o la página de DKIM de tu plataforma de envío. El valor s= es el selector.
La clave pública se ha revocado. El registro del selector existe pero no lleva clave, así que toda firma falla. Regenera/activa la clave en tu proveedor.
