La firma DKIM falla (firma no válida o body hash)

Qué significa

Tu email lleva una firma DKIM, pero cuando el receptor la comprueba, no coincide. Hay dos tipos principales de fallo:

• Firma no válida o clave no encontrada: la clave pública de tu DNS falta, es incorrecta o no corresponde a la clave privada usada para firmar.
• Body hash no verificado: la clave está bien, pero el contenido del email se modificó después de firmarlo. Con una sola línea añadida, la firma ya se rompe.

Por qué importa

Una firma fallida cuenta como si no hubiera firma, y a veces es peor: puede parecer que el email ha sido manipulado. Si SPF tampoco se supera para tu dominio, DMARC falla y el email puede ir a spam o ser rechazado.

Cómo comprobarlo

Delivmail lo comprueba por ti de dos formas:

• Envía un email de prueba: en la página de inicio, copia tu dirección de prueba única, envíale un email normal desde el buzón que quieres comprobar y abre el informe. La línea DKIM muestra el dominio que firma y el resultado, por ejemplo «d=tudominio.com: fail».
• Usa el Escáner de dominio: escribe tu dominio en /domain-scanner para leer tus registros DNS sin enviar nada.

Apunta el selector usado (por ejemplo google, selector1, s1). Escríbelo en el Escáner de dominio para ver la clave publicada con ese nombre.

Cómo solucionar un problema de clave

1. Comprueba que la clave existe en selector._domainkey.yourdomain.com. Si el escáner no encuentra nada, el registro falta o tiene un nombre incorrecto.
2. Comprueba el nombre. Muchos proveedores de DNS añaden tu dominio automáticamente. Escribe selector._domainkey, no el nombre completo, o tendrás selector._domainkey.yourdomain.com.yourdomain.com.
3. Comprueba que el valor está completo. Las claves largas se cortan fácilmente, o se rompen con espacios o comillas de más. Vuelve a copiar el valor de tu proveedor, de una sola vez.
4. Comprueba que es la clave actual. Si regeneraste DKIM en tu proveedor, el valor DNS antiguo ya no funciona. Publica el nuevo.

Un registro TXT DKIM correcto tiene este aspecto:

s1._domainkey.yourdomain.com  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."

Con Microsoft 365, los registros son CNAME que apuntan a Microsoft. Cópialos exactamente como aparecen en el portal de Defender y no los sustituyas por registros TXT.

Cómo solucionar un problema de body hash

Algo modificó tu email entre el momento en que se firmó y el momento en que llegó. Causas habituales:

• Un antivirus o una pasarela de seguridad que añade un pie como «Analizado contra virus».
• Un servidor o relé que añade un aviso legal después de firmar.
• Una lista de correo o un grupo que añade un pie de baja o cambia el asunto.
• Tu propio servidor de correo firma primero y luego reenvía a través de otro servicio que cambia el contenido.

La solución es asegurarse de que la firma se hace al final, después de cualquier cambio. Mueve el aviso o el pie antes de la firma, desactívalo, o deja que el último servicio de envío se encargue de firmar.

Comprueba que está solucionado

Los cambios de DNS no son instantáneos. La mayoría se ven en pocos minutos, pero algunos proveedores tardan hasta 24 o 48 horas.

Envía un nuevo email de prueba desde la página de inicio, desde el mismo buzón o la misma herramienta que falló. El informe debería mostrar que DKIM se supera para tu dominio. Si solo falla una herramienta de envío, el problema está en la configuración de esa herramienta.