Amazon SES: alinear SPF y DKIM para DMARC

Amazon SES (Simple Email Service) ocupa un lugar particular en el panorama de las plataformas de envío: facturado por mensaje, gobernado por API o por SMTP, sirve tanto los correos transaccionales de una aplicación como campañas de gran volumen. Esa flexibilidad tiene una contrapartida en la autenticación: a diferencia de una suite ofimática donde DKIM se activa en dos clics, SES deja al remitente la tarea de cablear la alineación a mano — y la configuración por defecto, una vez verificada la identidad del dominio, no basta para que DMARC pase.

El malentendido más extendido reside en ese paso de verificación. Añadir un dominio a SES y «verificarlo» solo prueba que la consola controla la zona DNS; con ello no se alinea ni SPF ni DKIM. Mientras no se añada nada más, el sobre de los mensajes salientes parte bajo un subdominio de amazonses.com y ninguna firma lleva el dominio que muestra el campo From. Un destinatario que aplica una política p=reject rechaza entonces ese tráfico, por legítimo que sea.

Esta guía detalla los tres bloques que hacen a SES compatible con DMARC: Easy DKIM y sus tres CNAME, el dominio MAIL FROM personalizado que busca la alineación SPF, y la alternativa BYODKIM para las organizaciones que rechazan toda delegación. Después, los errores de configuración más frecuentes, y la contraprueba final — la lectura de los informes RUA.

Easy DKIM: tres CNAME, una firma alineada

La opción recomendada se llama Easy DKIM. Al activarse sobre una identidad de dominio, SES genera un par de claves y publica la clave pública por su lado; el remitente, a su vez, coloca tres registros CNAME en la zona del dominio — aquí ejemplo.es:

xxxx1._domainkey.ejemplo.es.  CNAME  xxxx1.dkim.amazonses.com.
xxxx2._domainkey.ejemplo.es.  CNAME  xxxx2.dkim.amazonses.com.
xxxx3._domainkey.ejemplo.es.  CNAME  xxxx3.dkim.amazonses.com.

Los tres prefijos (tokens opacos propios de la identidad) corresponden a tres selectores DKIM. La lógica es la de una delegación: la clave no se copia en la zona del dominio, vive en Amazon, y el CNAME tiende el puente. Cuando un servidor destinatario verifica una firma d=ejemplo.es; s=xxxx1, la resolución DNS sigue el CNAME y recupera la clave en SES, de forma transparente. Se aprovisionan tres selectores desde el principio para permitir la rotación de claves sin intervención manual sobre la zona — una higiene criptográfica delegada a quien la industrializa.

Lo esencial para DMARC: la firma producida lleva d=ejemplo.es, el propio dominio organizativo, y no un dominio de Amazon. La alineación DKIM queda por tanto asegurada, incluso en modo estricto. Solo con este mecanismo DMARC ya pasa — siempre que los tres CNAME estén propagados y la clave figure como activa en la consola.

Identidad de dominio, subdominios y salida del entorno de pruebas

Antes incluso de la autenticación, SES impone dos decisiones estructurantes que pesan sobre DMARC. La primera es el alcance de la identidad verificada: SES distingue la identidad de dominio de la identidad de dirección. Verificar una dirección aislada (contacto@ejemplo.es) autoriza el envío desde ese único buzón, pero no activa Easy DKIM a escala de dominio — la firma alineada no sigue. Para un uso serio, es la identidad de dominio la que debe verificarse: cubre todas las direcciones del dominio y, sobre todo, porta la configuración DKIM. Un subdominio dedicado al envío transaccional (mailer.ejemplo.es) puede además constituir una identidad distinta, con sus propias claves — una segmentación útil cuando un flujo aplicativo debe permanecer aislado del correo humano.

La segunda decisión atañe al entorno de pruebas. Toda cuenta SES nueva arranca en modo sandbox: el envío solo es posible hacia direcciones a su vez verificadas, y el volumen está limitado. Esta restricción nada tiene que ver con la autenticación, pero a menudo enturbia el diagnóstico: una prueba que «no sale» es a veces una cuestión de sandbox, no un error DKIM. La salida del entorno de pruebas se solicita a AWS y condiciona el envío hacia destinatarios arbitrarios — un paso que superar antes de cualquier campaña de verificación DMARC a gran escala.

Sobre la criptografía, por último, Easy DKIM aprovisiona por defecto claves RSA de 2048 bits, robustas y aceptadas en todas partes. SES las rota de forma transparente gracias a los tres selectores, así que no hay razón para conservar una clave antigua. La longitud de 1024 bits, aún tolerada por algunas herramientas heredadas, debe evitarse en toda nueva configuración: varios operadores de correo la consideran ya débil.

Un último dispositivo merece atención para el seguimiento: los configuration sets. Adjuntan a los envíos un flujo de eventos — entregas, quejas, rebotes — exportable a otros servicios de AWS. Sin relación directa con la alineación, complementan de forma útil la lectura RUA: donde los informes agregados dicen cómo se autentica el tráfico desde el punto de vista de los destinatarios, los eventos de SES dicen en qué se convierte una vez entregado. Cruzar ambas fuentes acelera el diagnóstico cuando una fuente legítima empieza de pronto a fallar.