Cómo rotar una clave DKIM sin romper el correo

Guía Correo dkimrotationdnssigning

Use el flujo de tres pasos: prepare una clave nueva, espere a que el DNS se propague, confirme el cambio y luego retire el registro anterior.

La firma DKIM es automática. Rote la clave cuando pueda haberse filtrado, o como rutina. Hacerlo en tres pasos mantiene verificable el correo que ya está en tránsito.

Pasos

1. En la sección DKIM del dominio de correo, elija Preparar. El panel crea una clave nueva bajo un selector nuevo y publica su registro DNS, pero sigue firmando con la clave anterior.
2. Espere a que el DNS se propague. Con un TTL de una hora, espere al menos ese tiempo; verifique que el registro nuevo resuelva desde afuera.
3. Elija Confirmar. La firma pasa a la clave nueva. El registro anterior se mantiene publicado, porque el correo ya encolado se firmó con él.
4. Después de unos días, elija Retirar para borrar el registro anterior y su clave privada.

Si la zona está en otro lado

Cuando este nodo no sirve la zona, la clave se genera igual y usted obtiene el registro público para publicarlo donde esté su DNS.

Notas

• DKIM firma el envío autenticado (puertos 587/465) con el dominio del remitente del sobre. El correo enviado con mail() de PHP no lleva firma DKIM; use SMTP autenticado desde su aplicación cuando necesite correo firmado.

Actualizado: 2026-10-10