Comprobador DKIM
Una firma DKIM demuestra que un mensaje fue enviado por alguien que posee su clave y no fue modificado en el camino. La firma sólo vale algo si la clave pública que la verifica se publica donde la mirarán los receptores. Ingresa tu dominio y tu selector y mira si ese registro está ahí y qué dice.
Watched, not just checked
This is one scan of one layer, run once. In AYAsec the same check runs on a schedule across every asset you own, and you are told the day a grade drops.
Qué es un registro DKIM, en un párrafo
Cuando su sistema de correo envía un mensaje, lo firma con una clave privada y agrega un encabezado DKIM-Signature que nombra el dominio y un selector. El servidor receptor toma esos dos nombres, busca el TXTregistra en selector._domainkey.yourdomain y utiliza la clave pública que se encuentra allí para verificar la firma. Este verificador inspecciona esa clave DNS publicada y sus etiquetas; no verifica la firma de un correo electrónico en particular ni prueba que cada flujo de correo utiliza este selector.
Cinco razones para comprobar tu propio registro DKIM
01
Descubra si la clave está realmente publicada
Los proveedores de correo le solicitan que agregue un registro DKIM y es fácil agregarlo en ellugar equivocado: bajo el nombre equivocado, en el dominio equivocado o en una zona DNS que el dominio ya no utiliza. La página de configuración dice "hecho" y las firmas aún fallan, porque el registro que solicita el receptor no está allí.
02
El selector es el único nombre que no puedes adivinar
Un dominio puede tener muchas claves DKIM a la vez: una por proveedor, una por flujo de correo y una por año. El selector le dice al receptor cuál buscar, y lo establece quien configuró su correo. Está en el encabezado DKIM-Signature de cualquier mensaje que envíe, como s=. Al marcar el selector incorrecto no se encuentra nada, por eso esta página lo solicita.
03
Una clave revocada o vacía parece faltar
Un registro con un valor p= vacío es una clave queha sido revocado intencionalmente. Esto es correcto cuando jubiló a un proveedor y es un error cuando es el registro con el que firma su proveedor actual. Ver el registro exactamente como se publicó es lo que los separa.
04
Las claves antiguas sobreviven a los proveedores que las usaron
Cada herramienta de correo que ha probado dejó un selector. Algunos todavía están publicados, siguen siendo válidos y ya no los utiliza nadie que trabaje con usted. Una clave que nadie rota es una clave cuya privacidadla mitad ha tenido años para filtrarse, y un lugar más donde sus registros discrepan silenciosamente con su configuración de correo.
05
DKIM es la mitad de DMARC que sobrevive al reenvío
El SPF se rompe en el momento en que se reenvía un mensaje. DKIM normalmente no lo hace, porque la firma viaja con el mensaje. Es por eso que una política DMARC que insiste en su aplicación necesita un registro DKIM que realmente funcione detrás de ella.
Sepa el día en que cambia su registro
Claves DKIMson rotados, reemplazados y eliminados por quien gestiona la plataforma de correo, y el cambio llega a las DNS unos minutos después.
Los escaneos programados convierten eso en una diferencia de la que le informan: este selector desapareció, este registro cambió, esta calificación bajó. Las alertas llegan a la aplicación, por correo electrónico o a través de Slack, Teams, Jira o un webhook.
Paso 01 · Nombra el dominio
Un dominio que usted controla, agregado a su cuenta AYAsec. La propiedad se verifica antes de enviar cualquier cosa: AYAsec no programará análisis en infraestructura sobre la cual no haya demostrado control y [demostrará que requiere un registro DNS] (https://docs.ayasec.ai/guides/verify-domain/cloudflare/). La verificación rápida anterior omite esto: sin cuenta, sin verificación, solo limitación de velocidad de IP y una regla de que el objetivo debe ser una dirección pública.
Paso 02 · Dejala ejecución del cheque
Los registros DKIM son públicos, por lo que se leen en lugar de sondear. Busca el registro como lo haría un servidor de correo receptor.
Paso 03 · Leer el resultado
Los resultados llegan ordenados por gravedad y con calificaciones de A+ a F, junto a los otros registros DNS que pertenecen a la misma configuración de correo.
De qué es parte esto
DKIM es uno de varios registros relacionados con el correo que AYAsec verifica como parte de su análisis de DNS, junto con SPF,DMARC, MTA-STS, TLS-RPT y DNSSEC. Es un escaneo y esta página es aproximadamente una parte de lo que analiza.
DNS lleva el 20% de la calificación compuesta. Los otros son HTTP al 30 %, TLS y puertos al 20 % cada uno, y credibilidad del dominio al 10 %. Todos ellos juntos son lo que superficie de ataquegestión significa en la práctica.
Preguntas antes de comprobar
¿Qué puedo comprobar?
Infraestructura de su propiedad o contratada para realizar pruebas. La verificación rápida anterior no verifica eso por usted: solo limita la velocidad por IP y se niega a apuntar a nada que no sea una dirección pública. En su lugar, agregue el dominio a una cuenta de AYAsec y el control se verificará antes de que se ejecute cualquier cosa programada: un límite tanto legal como práctico, ya que un escaneo no verificado tampoco le sirve como evidencia.
¿Cómo encuentro mi selector?
Enviar un mensaje desde elsistema que desea verificar en un buzón que controla, abra los encabezados completos y busque la línea DKIM-Signature. El valor después de s= es el selector y el valor después de d= es el dominio para el que firma. Muchos proveedores utilizan nombres fijos como google o selector1.
El registro que veo es un CNAME. ¿Está eso mal?
No. Varios proveedores publican la clave en sus propios servidores de nombres y le piden que apunte su selector con un CNAME. La clave es entonceslea ese nombre y rote por el proveedor.
¿Un selector aprobado significa que mi correo está firmado?
Significa que se publica una clave. Si cada flujo de correo que envía realmente firma con él es una cuestión que corresponde al sistema de envío; la forma de comprobarlo es leer los encabezados de un mensaje real.
¿Es DKIM suficiente por sí solo?
¿Conservas los resultados?
No es la comprobación rápida anterior: permanece en la memoria durante unos quince minutos para que puedas leerla una vez y luego desaparece. Se trata de una elección deliberada de privacidad, no de una limitación: nadie más que tú ve ese análisis y puedes descargar el resultado completo antes de que caduque. En su lugar, agregue el dominio a una cuenta de AYAsec y cada escaneo se conserva: una serie que le indica qué edición lo rompió. La retención depende de su plan.
Mantenga la historia, no solo laresultado
Ejecute la verificación completa de DNS en sus propios dominios, según un cronograma, con cada cambio marcado para quien necesite verlo.
Las otras damas
Comprobador SPF: ¿qué servidores pueden enviar como su dominio?
Comprobador DMARC: ¿qué sucede con el correo que no pasa la verificación?
comprobador de seguridad DNS
DNSSEC,servidores de nombres y los propios registros
Datos estructurados para incrustar
{
"@context": "https://schema.org",
"@type": "SoftwareApplication",
"name": "AYAsec DKIM Checker",
"applicationCategory": "SecurityApplication",
"operatingSystem": "Web browser",
"url": "https://ayasec.ai/dkim-checker/",
"offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}No añada el marcado FAQPage o HowTo - Google retiró ambos tipos de resultados.