DKIM

DKIM (DomainKeys Identified Mail) es un estándar de autenticación de email definido en la RFC 6376. El sistema de mail remitente firma cada mensaje saliente con una clave criptográfica privada; un header llamado DKIM-Signature transporta la firma, el algoritmo y un puntero a la clave pública. El servidor receptor obtiene la clave pública desde DNS y verifica que la firma coincida con el cuerpo del mensaje y los headers listados — demostrando tanto que el mensaje se originó en un servidor que posee la clave privada como que las porciones firmadas del mensaje no han sido alteradas en tránsito.

La clave pública vive en {selector}._domainkey.{domain} como un registro TXT. Los selectors son identificadores arbitrarios — típicamente s1, s2, mail o nombres específicos de vendor como amazonses. Los selectors habilitan la rotación de claves: publique una nueva clave bajo un selector fresco, conmute el signer al nuevo selector, deje la clave vieja en DNS hasta que se drenen los mensajes firmados en tránsito, luego elimine el registro TXT antiguo. La rotación es una práctica básica de higiene — la mayoría de los ESPs rota al menos anualmente y ante cualquier sospecha de compromiso.

Para el envío vía vendor (Amazon SES, Mailgun, SendGrid, SparkPost — todos drivers integrados en app/SendingServers/Drivers/Vendors/), DKIM lo firma el vendor. El trabajo del operador es publicar los registros CNAME o TXT que proporciona el vendor en su dominio de envío. Para el driver SMTP genérico, la firma DKIM la realiza el MTA upstream (milter opendkim de Postfix, signer integrado de Postal, etc.) — AcelleMail no firma DKIM por sí mismo.

El walkthrough completo de configuración — cómo lucen los registros para los principales vendors y cómo verificar el signing — vive en la guía pillar de entregabilidad.

SPF autentica la dirección IP; DKIM autentica el mensaje en sí. Un correo reenviado que rompe SPF (porque ahora viene de las IPs del forwarder) típicamente todavía pasa DKIM (la firma cubre el cuerpo, no la ruta). DMARC luego alinea uno o ambos sinales contra el header From: visible. Las tres capas se componen — la entregabilidad moderna asume que usted publica las tres.