Rotación de claves DKIM: la guía sincera (y por qué la mayoría de los remitentes desconocidos no la necesitan)

La mayoría de los artículos sobre la rotación de claves DKIM te dirán que es fundamental, urgente e ineludible para que los correos lleguen a la bandeja de entrada. Es una estrategia para vender paneles de control de DMARC. Pero eso no refleja la realidad.

Esta es la verdad. La rotación de claves DKIM existe para que una clave privada robada o descifrada no pueda utilizarse indebidamente de forma indefinida. Para las empresas con requisitos de cumplimiento estrictos, los sectores regulados o los dominios que han sido objeto de ataques, la rotación es importante. ¿Pero para un equipo de captación en frío B2B que lleva a cabo campañas desde unas pocas bandejas de entrada de Google Workspace o Microsoft 365? En la mayoría de los casos, es excesivo. La ubicación de tus mensajes en la bandeja de entrada no cambia por el hecho de que hayas rotado tu clave el trimestre pasado.

Esta guía está dirigida a aquellas personas que realmente necesitan hacerlo o que quieren saber en qué consiste exactamente antes de decidir que no merece la pena dedicarle tiempo de desarrollo. Explicaremos qué es la rotación de claves DKIM, a quién le debe importar, cómo llevarla a cabo en los dos proveedores más importantes y en qué hay que centrarse realmente si tus correos electrónicos están acabando en la carpeta de spam.

¿Qué es la rotación de claves DKIM?

DKIM (DomainKeys Identified Mail) firma cada correo electrónico saliente con una firma criptográfica. Una clave privada, que obra en poder de tu proveedor de correo electrónico, firma el mensaje. Una clave pública correspondiente, publicada en tu DNS como un registro TXT bajo un «selector», permite a los servidores receptores verificar que la firma es auténtica y que el mensaje no ha sido alterado durante el tránsito.

La rotación de claves DKIM es el proceso de sustituir ese par de claves por uno nuevo. El funcionamiento es el siguiente:

1. Generar una nueva clave privada y pública
2. Publica la nueva clave pública en el DNS bajo un nuevo selector
3. Configura tu sistema de envío para que firme con la nueva clave privada
4. Retira el selector antiguo tras un periodo de solapamiento seguro

Eso es todo.

La razón por la que existe esta práctica es la seguridad. Las claves privadas DKIM son secretos criptográficos. Si una de ellas se filtra, se copia durante una migración de la infraestructura o simplemente permanece sin utilizarse durante años con una longitud de clave débil de 1024 bits, un atacante que la obtenga podrá firmar correos electrónicos en nombre de tu dominio. La rotación periódica de la clave limita el alcance del daño. Ese es precisamente el objetivo.

Para saber cómo encaja DKIM en el conjunto más amplio de mecanismos de autenticación, consulta nuestra guía sobre SPF, DKIM y DMARC.

¿De verdad es necesario rotar las claves DKIM?

Antes de repasar el proceso, seamos sinceros sobre a quién le afecta esto.

Probablemente no sea necesario rotar las claves DKIM si:

• Realizas campañas de captación en frío B2B desde unas cuantas bandejas de entrada de Google Workspace o Microsoft 365
• Tus claves ya son de 2048 bits y se han configurado correctamente.
• No tienes motivos para creer que tu infraestructura de DNS o de correo electrónico haya sufrido una brecha de seguridad
• No estás sujeto a marcos normativos que exijan la rotación

Probablemente sí que tengas que rotar las claves DKIM si:

• Te encargas de gestionar la infraestructura de correo electrónico de una empresa que envía grandes volúmenes de mensajes a través de múltiples plataformas
• Tu organización cumple con marcos de cumplimiento como PCI DSS, HIPAA o SOC 2, que exigen la rotación de claves
• Sigues utilizando claves heredadas de 1024 bits, que cada vez se consideran más débiles.
• Has sufrido un incidente de seguridad, una filtración de credenciales o una brecha de seguridad en un proveedor que podría haber dejado al descubierto tu clave privada DKIM
• Vas a cambiar de proveedor de correo electrónico y necesitas retirar de forma ordenada la antigua infraestructura de firma

El M3AAWG (Grupo de Trabajo contra el Uso Indebido de Mensajería, Malware y Dispositivos Móviles) publica el documento de buenas prácticas más citado sobre este tema. Su recomendación: rotar al menos cada seis meses en el caso de las organizaciones que cuenten con programas de seguridad consolidados. Esa orientación está dirigida a los grandes remitentes.

Si te encuentras en el primer grupo, puedes dejar de leer y ponerte a solucionar algo que realmente afecte a la ubicación de tus mensajes en la bandeja de entrada. Más adelante te ofrecemos algunas sugerencias al respecto. Si te encuentras en el segundo grupo, sigue leyendo.

‍

¿Mejora la rotación de claves DKIM la capacidad de entrega del correo electrónico?

Respuesta breve: no.

Hay artículos que afirman que sí. Pero la verdad es que la capacidad de entrega del correo electrónico en el caso de las campañas de captación en frío depende de tres factores:

1. La reputación del remitente, que depende de la interacción (aperturas, respuestas, denuncias de spam)
2. El contenido del correo electrónico, que incluye tus enlaces, píxeles de seguimiento, código HTML, texto, archivos adjuntos y firmas
3. Configuración del envío, que incluye tu autenticación (SPF, DKIM, DMARC) y tu proveedor

La rotación de DKIM se encuentra dentro del tercer grupo. Y solo de forma muy limitada.

Siempre que tu DKIM sea válido, esté correctamente firmado y coincida con tu dominio «De», a los proveedores de correo electrónico no les importa si la clave tiene tres meses o tres años de antigüedad. Comprueban la firma, verifican el mensaje y siguen adelante. Cambiar de una clave válida de 2048 bits a otra nueva y válida de 2048 bits no altera en absoluto la forma en que Gmail u Outlook tratan tu correo.

Lo que realmente determina si tu correo llega a la bandeja de entrada es si tu DKIM se ha configurado correctamente desde el principio, si sigue siendo válido con el paso del tiempo y si tu reputación como remitente es lo suficientemente sólida como para que los proveedores de correo electrónico quieran entregar tu correo en primer lugar.

La rotación forma parte de las prácticas de seguridad. No es un factor que influya en la capacidad de entrega.

Cómo rotar las claves DKIM (por proveedor)

El funcionamiento varía según el proveedor. A continuación te explicamos cómo lo gestionan las tres configuraciones que utilizan en la práctica la mayoría de los equipos B2B.

Rotación de claves DKIM en Microsoft 365

Microsoft 365 facilita este proceso más que cualquier otro proveedor importante, ya que utiliza dos registros CNAME («selector1» y «selector2») que apuntan a claves que Microsoft gestiona en el backend. No tienes que generar ni publicar nuevas claves tú mismo. De eso se encarga Microsoft.

Para activar la rotación:

1. Inicia sesión en el portal de Microsoft 365 Defender
2. Ve a «Correo electrónico y colaboración» y, a continuación, a «Políticas y reglas»
3. Haz clic en «Políticas de amenazas» y, a continuación, en «Configuración de autenticación de correo electrónico».
4. Abre la pestaña «DKIM» y selecciona tu dominio
5. Haz clic en «Rotar claves DKIM»

Una vez que se activa la rotación, Microsoft no cambia la firma de forma inmediata. La nueva clave se activa en un plazo de hasta 96 horas, durante el cual ambas claves pueden firmar el correo. No es necesario modificar el DNS siempre y cuando los registros CNAME ya estén configurados.

Si has configurado DKIM mediante registros TXT directos en lugar de CNAME (configuraciones antiguas), primero tendrás que migrar al método CNAME. Para conocer el proceso completo de configuración inicial, consulta nuestra guía de configuración de DKIM para Office 365.

Rotación de claves DKIM en Google Workspace

La rotación de claves en Google Workspace es más manual. No existe ningún mecanismo automático ni un selector de segundas claves integrado. Debes generar la nueva clave, publicarla en el DNS y cambiar la firma tú mismo.

Los pasos:

1. Inicia sesión en la Consola de Administración de Google
2. Ve a «Menú», luego a «Aplicaciones», luego a «Google Workspace» y, por último, a «Gmail».
3. Haz clic en «Autenticar correo electrónico»
4. Selecciona el dominio que deseas rotar
5. Haz clic en «Generar nuevo registro» y selecciona 2048 bits como longitud de clave
6. Copia el valor del nuevo registro TXT
7. Publica el nuevo registro TXT en el DNS con un nuevo nombre de selector (no sobrescribas el antiguo)
8. Espera a que se produzca la propagación del DNS (normalmente menos de una hora; por seguridad, espera hasta 24 horas).
9. Vuelve a la consola de administración y haz clic en «Iniciar autenticación» para activar la nueva clave.
10. Una vez que hayas comprobado, durante al menos 7 días, que la nueva clave firma correctamente, elimina el antiguo registro TXT del DNS.

El solapamiento de 7 días no es opcional. Los mensajes que ya estén en tránsito o en las colas de los destinatarios pueden seguir verificándose con la clave anterior. Si se retira el registro anterior demasiado pronto, esos mensajes no superarán la verificación DKIM.

Si aún estás en la fase de configuración inicial, nuestra guía de configuración de DKIM para Google Workspace te ayudará con ello.

Rotación de claves DKIM para plataformas de envío de terceros

Si envías tus mensajes a través de Mailgun, SendGrid, Amazon SES, Brevo o servicios similares, cada plataforma gestiona la rotación de claves de forma diferente. Algunas realizan la rotación automáticamente (Mailgun, por ejemplo, lo hace cada 120 días de forma predeterminada). Otras requieren que la activas manualmente a través de su panel de control. Y en otras, debes generar la clave tú mismo y actualizar el DNS manualmente.

Consulta la documentación de la plataforma. El procedimiento es el mismo en todos los casos:

1. Generar nuevas claves
2. Publicar bajo un nuevo selector
3. Ejecuta ambos en paralelo durante la transición
4. Retira el selector antiguo tras un periodo de vaciado comprobado.

Nunca reutilices los nombres de los selectores. Los mensajes firmados más antiguos que aún estén en tránsito no superarán la verificación con una nueva clave que tenga el mismo nombre de selector. Esa es la forma más fácil de provocar errores.

‍

Frecuencia de rotación de DKIM: ¿con qué frecuencia se debe rotar?

No hay una única respuesta correcta. A continuación se comparan las principales recomendaciones.

La razón por la que los equipos de captación en frío ocupan los últimos puestos de esta tabla no es que estén exentos de las mejores prácticas de seguridad. Es que el modelo de amenazas es diferente. Si gestionas 20 buzones de correo para campañas de salida, tu clave privada DKIM no es un objetivo de alto valor, al igual que lo es la clave de firma raíz de una empresa de la lista Fortune 500. Los ciclos de rotación diseñados para modelos de amenazas empresariales no se adaptan perfectamente a configuraciones de captación B2B más pequeñas.

Si tu equipo dispone de los recursos necesarios y, aun así, quieres hacerlo, cada seis meses está bien. Cada trimestre es una opción prudente. Una vez al año es aceptable para configuraciones de bajo riesgo. No hay una cifra mágica.

Prácticas recomendadas para la rotación de claves DKIM

Si has decidido que la rotación forma parte de tu programa de seguridad, estas son las prácticas que evitan que cause problemas.

Utiliza claves de 2048 bits. El estándar de 1024 bits se considera débil según los estándares criptográficos actuales. Se han descifrado claves de 512 bits en entornos de computación en la nube por menos de 10 dólares. Cualquier clave inferior a 2048 bits supone un riesgo.

Durante la transición, ejecuta siempre dos selectores en paralelo. Genera la nueva clave, publícala bajo un nuevo selector, deja que se realice la migración de la firma y, a continuación, espera. No elimines el antiguo registro DNS hasta que hayan transcurrido al menos 7 días tras el cambio. Los mensajes de correo en tránsito o en cola en otros sistemas seguirán intentando verificar la clave antigua.

Nunca reutilices los nombres de los selectores. Si eliminas un selector y vuelves a publicar una clave con el mismo nombre, cualquier correo electrónico anterior firmado con la clave original fallará en la verificación DKIM. El DNS devuelve una clave pública diferente a la que firmó el mensaje. Utiliza nombres basados en la fecha o en la versión, como «mail202607» o «selector-v3».

Comprueba que la nueva clave realmente firme los mensajes antes de retirar la antigua. Envía correos electrónicos de prueba. Comprueba el encabezado «Authentication-Results» en un mensaje recibido. Confirma que «dkim=pass» y que los valores «d=» y «s=» se corresponden con tu nuevo selector. Utiliza una herramienta de verificación de DKIM para confirmar que el registro se ha publicado correctamente y que se puede analizar.

Rota los flujos de envío de uno en uno. Si tu organización gestiona el correo transaccional, de marketing y de atención al cliente a través de plataformas distintas, rótalos de forma secuencial en lugar de hacerlo simultáneamente. De este modo, el alcance del envío masivo se mantiene bajo control en caso de que surja algún problema.

Documenta todo. Lleva un registro de qué selectores están activos, qué claves firman qué flujos y cuándo se produjo cada rotación. Sin documentación, quienquiera que se encargue de tu DNS a continuación se encontrará con un lío que no podrá solucionar de forma segura.

Supervisa los informes DMARC durante y después de la rotación. Tus informes DMARC agregados serán la señal más rápida de que algo no va bien. Si no los revisas, no detectarás el problema hasta que la tasa de entrega en la bandeja de entrada empiece a descender.

Errores habituales en la rotación de claves DKIM

Los fallos que vemos con más frecuencia:

Eliminar el antiguo registro TXT inmediatamente después de cambiar la firma. Esta es la causa más habitual de los errores de DKIM tras la rotación. El correo en tránsito, el correo en cola y el correo que se verifica tras un retraso fallan. Mantén activo el antiguo registro durante al menos una semana tras la migración de la firma.

Reutilización de nombres de selectores. Igual que en el caso anterior. Esto dificulta la verificación de cualquier correo firmado anterior.

No hay que olvidar que la propagación del DNS es un proceso real. Publicar un nuevo registro TXT no hace que esté disponible al instante en todas partes. Los resolutores almacenan la información en caché. Algunos sistemas DNS de nivel superior tardan más que otros. Espera a que se complete la propagación antes de activar la firma.

Considerar la rotación como una solución para la entregabilidad cuando el problema real está en otra parte. Esto es importante. Si tus correos electrónicos acaban en la carpeta de spam, la rotación no lo solucionará. Que un correo acabe en spam es un problema relacionado con la reputación del remitente, el contenido o la configuración del envío. No es un problema relacionado con la antigüedad de la clave. Quienes buscan la solución equivocada pierden semanas.

Activar la rotación de Microsoft 365 antes de comprobar que los registros CNAME estén configurados. Si tu DKIM de M365 se ha configurado mediante registros TXT (método antiguo), el botón de rotación del portal no funcionará correctamente. Migra primero a los registros CNAME.

Si quieres saber más, consulta nuestro análisis titulado «Error de DMARC: por qué ocurre y cómo solucionarlo» para obtener información sobre cómo resolver este problema.

En qué deberían centrarse realmente los equipos de correo electrónico en frío

Si has llegado a este artículo porque tus mensajes de contacto en frío no llegan a las bandejas de entrada, la rotación de claves DKIM no es la solución que buscas.

Las cosas que realmente marcan la diferencia:

• La reputación del remitente se basa en una interacción real. Esto significa recibir interacciones positivas desde las bandejas de entrada de Google Workspace y Microsoft 365, los dos proveedores que acaparan la mayor parte del mercado de los buzones de correo. Las interacciones SMTP personalizadas no tienen ningún impacto. Por eso es tan importante cómo email warmup en el ámbito B2B.
• Contenido limpio, sin enlaces agresivos, píxeles de seguimiento ni archivos adjuntos que activen los filtros
• Una configuración de envío válida con SPF, DKIM y DMARC alineada con tu dominio «De»
• Disciplina en el volumen. No más de 100 correos electrónicos en frío al día por cada bandeja de entrada en Google Workspace o Microsoft 365.
• Pruebas reales de entrega en la bandeja de entrada. Envío en condiciones reales a una lista de bandejas de entrada de prueba de distintos proveedores, no a herramientas de puntuación de spam con una sola dirección que te dan un 10/10 mientras que tus correos reales van a parar a la carpeta de spam.

Si el DKIM que configuraste hace dos años sigue siendo válido, sigue siendo de 2048 bits y sigue pasando las comprobaciones en tus informes DMARC, no lo toques. Arregla lo que realmente no funciona.

‍

Cómo te ayuda MailReach con lo que realmente importa

MailReach se ha diseñado para abordar aquellos aspectos de la capacidad de entrega que realmente influyen en el contacto en frío. No aquellos que quedan bien en una diapositiva de auditoría de seguridad.

Email warmup genera una reputación real del remitente. Nuestra red de calentamiento entre pares cuenta con más de 30 000 buzones de correo, en su mayoría cuentas reales de Google Workspace y Microsoft 365. La puntuación media de reputación de nuestra red es de 95,17/100. Por qué es importante: las interacciones positivas solo cuentan cuando proceden de buzones en los que los principales proveedores confían realmente. Recibir interacción de una red llena de cuentas SMTP personalizadas (en lo que se basan la mayoría de las herramientas «todo en uno») contribuye muy poco a tu reputación. Prueba Email Warmup de MailReach.

Una prueba de spam que te dice la verdad. Envía tu campaña real a través de la prueba de spam de MailReach y comprueba exactamente dónde llega en más de 30 bandejas de entrada. No se trata de una «puntuación de spam sobre 10» basada en el análisis sintáctico de tu correo electrónico, sino de la ubicación real en la bandeja de entrada en condiciones reales de envío. Además, obtendrás información sobre el estado de superación o fallo de SPF, DKIM y DMARC, comprobaciones de enlaces, análisis de palabras consideradas spam y comprobaciones de listas negras.

Diagnóstico de autenticación integrado. MailReach detecta los errores de SPF y DKIM durante la fase de calentamiento y en las pruebas de spam. Así, si se produce un fallo en la autenticación (tras una rotación, un cambio de herramienta o una modificación del DNS), te enteras antes de que disminuya la capacidad de entrega, y no después.

Diseñado para grandes escalas. Gestiona cientos o miles de buzones de correo con seguimiento de la reputación por dominio, etiquetas, alertas y una API. Si gestionas varios clientes, varios dominios o un volumen considerable de comunicaciones, esto es importante.

Si estás perdiendo reuniones porque tus correos electrónicos no llegan a sus destinatarios, prueba MailReach.

Si estás aquí porque el departamento de cumplimiento te ha indicado que cambies tus claves, sigue los pasos anteriores.