Clave DKIM larga en el DNS: registros TXT divididos en varias cadenas

Qué significa

Un registro DKIM contiene una clave pública, un bloque largo de letras y números. Una clave de 2048 bits, el tamaño recomendado hoy, tiene unos 400 caracteres.

El DNS tiene una regla: una sola cadena de texto en un registro TXT puede contener como máximo 255 caracteres. Un valor más largo debe guardarse como varias cadenas, una detrás de otra, dentro del mismo registro. Los receptores las vuelven a unir sin añadir nada entre ellas.

google._domainkey  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqh...first part" "...second part...IDAQAB"

Por qué importa

Si la clave está cortada, tiene un espacio de más o está dividida en dos registros separados, el receptor obtiene una clave incorrecta. Entonces todas las firmas DKIM fallan, y DMARC puede fallar con ellas. El email te parece normal, pero puntúa peor en todas partes.

Cómo comprobarlo

• Envía un email de prueba desde la página de inicio de Delivmail. El informe muestra DKIM «fail» o un error de clave aunque tu proveedor diga que DKIM está activado.
• Usa el Escáner de dominio en /domain-scanner para ver tus registros DNS.
• Mira el registro en bruto:

  dig TXT google._domainkey.yourdomain.com

  Sustituye google por tu selector. Deberías ver un solo registro, posiblemente con varias partes entre comillas.

Cómo solucionarlo

1. Vuelve a copiar la clave desde la página de administración de tu proveedor (por ejemplo la consola de administración de Google para Google Workspace). Copia el valor completo, desde v=DKIM1 hasta el final.
2. Prueba a pegarla como un solo valor. Muchos proveedores de DNS (Cloudflare, OVH y otros) aceptan un valor largo y lo dividen por ti.
3. Si el panel lo rechaza, divídela tú mismo en partes de menos de 255 caracteres, cada una entre comillas dobles, separadas por un espacio:

   "v=DKIM1; k=rsa; p=MIIBIjANBg...(about 200 characters)" "...rest of the key"

   El espacio entre las partes entre comillas se ignora. Los espacios dentro de las comillas, no.
4. Mantenla en un solo registro. Dos registros TXT separados con media clave cada uno no funcionan.
5. Guarda y espera unos minutos, y vuelve a hacer la prueba.

Errores habituales

• Un salto de línea o un espacio copiado en mitad de la clave.
• La clave cortada a 255 caracteres por el panel DNS, con el final perdido.
• Comillas dentro de comillas, como ""v=DKIM1..."".
• La parte p= ausente o vacía: una clave vacía significa «esta clave está revocada».

Último recurso

Si tu proveedor de DNS no puede guardar registros largos en absoluto, plantéate mover tu DNS a un proveedor mejor. Algunos servicios de email también te permiten elegir una clave de 1024 bits, que cabe en una sola cadena, pero es más débil y solo debería ser temporal.

Comprueba que está solucionado

El comando dig debería mostrar un solo registro cuyo valor unido coincida exactamente con la clave de tu proveedor. Después envía un nuevo email de prueba desde la página de inicio: DKIM debería superarse para tu dominio.