Clave DKIM demasiado corta (1024 bits) y cómo rotarla

Qué significa

DKIM firma cada email con una clave privada guardada en el servidor de envío. La clave pública correspondiente se publica en tu DNS. Cuanto más larga es la clave, más difícil es falsificar tu firma. Las claves de 1024 bits fueron el estándar durante años, pero hoy el tamaño recomendado es de 2048 bits. Las claves de 512 o 768 bits se consideran rotas y muchos receptores las ignoran.

«Rotar» una clave significa sustituirla por una nueva, algo recomendable de vez en cuando y urgente si la clave privada ha podido filtrarse.

Por qué importa

• Una clave débil puede, en teoría, descifrarse, lo que permitiría a alguien firmar emails en nombre de tu dominio.
• Algunos receptores y auditorías de seguridad señalan las claves de 1024 bits.
• Una clave usada durante muchos años, o que estuvo en un servidor que ya no controlas, debería sustituirse.

Cómo comprobarlo

Envía un email de prueba a tu dirección de la página de inicio (/). La sección DKIM muestra el selector usado (el valor s=) y si la firma se supera. También puedes analizar tu dominio en /domain-scanner. Una clave pública de 2048 bits en el DNS es mucho más larga que una de 1024, de unos 400 caracteres.

Cómo solucionarlo

El método seguro es usar un nuevo selector, para que la clave antigua y la nueva convivan durante el cambio.

Con un proveedor de correo

• Google Workspace: en los ajustes DKIM de la consola de administración, genera un nuevo registro y elige 2048 bits. Publícalo, espera al DNS y vuelve a iniciar la autenticación con la nueva clave.
• Microsoft 365: los dominios nuevos usan claves de 2048 bits. Microsoft puede rotar las claves por ti desde los ajustes DKIM del portal Defender, usando sus dos selectores.
• Herramientas de newsletters: la mayoría gestionan el tamaño de la clave por sí mismas. Consulta su documentación si tu prueba muestra una clave corta.

Con tu propio servidor (OpenDKIM)

1. Crea una clave con un nuevo selector, por ejemplo con el nombre de la fecha:

   opendkim-genkey -b 2048 -d yourdomain.com -s 2025a

2. Publica la clave pública de 2025a.txt como registro TXT en 2025a._domainkey.yourdomain.com. Algunos paneles DNS necesitan que los valores largos se dividan en varias partes entre comillas de 255 caracteres o menos; la mayoría de paneles lo hacen por ti.
3. Espera a que el nuevo registro sea visible en todas partes, al menos unas horas.
4. Cambia la firma a la nueva clave y al nuevo selector en tu configuración de OpenDKIM, y reinicia OpenDKIM.
5. Conserva el registro antiguo durante una semana aproximadamente, para que los emails firmados justo antes del cambio puedan seguir verificándose.
6. Elimina el registro antiguo del DNS, o sustitúyelo por una clave vacía (v=DKIM1; p=) para indicar que está revocada.

Buenos hábitos

• Rota las claves cada seis a doce meses.
• Haz que las claves privadas solo sean legibles por el servicio de firma.
• Rota de inmediato si un servidor que tenía la clave ha sido comprometido.

Comprueba que está solucionado

Envía una nueva prueba desde la página de inicio. La sección DKIM debería mostrar el nuevo selector y una firma superada. Ejecuta /domain-scanner para confirmar que el nuevo registro está publicado y comprueba al cabo de una semana que el antiguo se ha eliminado.