delivmail
todas las guías

// cómo solucionarlo

DKIM con registros CNAME: selectores delegados (Microsoft 365, SendGrid…)

DKIMDNSMicrosoft 365

Muchos proveedores piden DKIM como registros CNAME en lugar de una clave TXT. Así funcionan y estos son los errores que los rompen.

Qué significa

Una clave DKIM es normalmente un registro TXT largo publicado en un nombre como selector._domainkey.yourdomain.com. Muchos proveedores, como Microsoft 365, SendGrid, Mailchimp o Amazon SES, te piden en cambio que añadas un registro CNAME en ese nombre.

Un CNAME es un puntero. Dice «la respuesta está allí, en el dominio del proveedor». El proveedor publica entonces la clave real en su lado. Esto se llama un selector delegado. Su gran ventaja: el proveedor puede cambiar (rotar) la clave sin que toques tu DNS.

Ejemplos típicos:

selector1._domainkey.yourdomain.com  CNAME  (value shown in Microsoft 365)
selector2._domainkey.yourdomain.com  CNAME  (value shown in Microsoft 365)
s1._domainkey.yourdomain.com         CNAME  s1.domainkey.u1234.wl.sendgrid.net

Por qué importa

  • Si el CNAME está mal, los receptores no encuentran ninguna clave y DKIM falla, aunque el proveedor firme correctamente.
  • Microsoft 365 y otras herramientas se niegan a activar la firma DKIM hasta que pueden ver tus CNAME.
  • Sin una firma DKIM alineada, DMARC depende solo de SPF, que se rompe con los reenvíos.

Cómo comprobarlo

Delivmail lo comprueba por ti de dos formas:

  • Envía un email de prueba: en la página de inicio (/), copia tu dirección de prueba única, envíale un email normal desde el buzón o la herramienta que quieres comprobar y abre el informe.
  • Usa el Escáner de dominio: escribe tu dominio en /domain-scanner para leer tus registros SPF, DMARC y MX sin enviar nada.

En el informe, la línea DKIM muestra qué dominio firmó (d=) y si se encontró la clave.

Cómo solucionarlo

  1. Copia los valores exactos de tu proveedor. No los adivines: los valores de Microsoft 365 contienen tu dominio y el nombre de tu tenant, y los de SendGrid tu número de cuenta.
  2. Crea registros CNAME, no TXT. Si ya existe un registro TXT con el mismo nombre, bórralo: un nombre no puede tener un CNAME y otro registro a la vez.
  3. Revisa el campo del nombre. Muchos paneles DNS añaden tu dominio automáticamente. Escribe selector1._domainkey, no el nombre completo, o tendrás selector1._domainkey.yourdomain.com.yourdomain.com.
  4. Desactiva el proxy. En Cloudflare, pon los CNAME de DKIM en «Solo DNS» (nube gris). Un registro con proxy no devuelve la clave.
  5. Añade todos los registros que te piden. Microsoft 365 usa dos selectores y alterna entre ellos cuando rota las claves. Si solo añades uno, DKIM se rompe en la siguiente rotación.
  6. Activa la firma en el proveedor. En Microsoft 365, DKIM debe activarse para tu dominio en el portal de Defender cuando los CNAME ya sean visibles. Otras herramientas tienen un botón «Verificar».

Prueba el CNAME tú mismo

En un ordenador, ejecuta:

nslookup -type=TXT selector1._domainkey.yourdomain.com

Deberías ver el CNAME seguido de la clave (v=DKIM1; k=rsa; p=...). Si no hay respuesta, el CNAME falta o está mal escrito.

Comprueba que está solucionado

Los cambios de DNS pueden tardar desde unos minutos hasta 48 horas. Cuando el proveedor confirme los registros, envía un nuevo email a una dirección de prueba de Delivmail nueva. El informe debería mostrar que DKIM se supera con d=yourdomain.com, y que DMARC se supera.

Ayuda oficial: guía DKIM de Microsoft 365.

Comprueba que está solucionado

Un cambio de DNS puede tardar de unos minutos a unas horas. Después, envía un nuevo email de prueba o vuelve a escanear tu dominio.

Probar un email Escanear un dominio

Guías relacionadas