Rotación de claves DKIM: por qué, cuándo y cómo (sin romper nada)

El método del doble selector (sin interrupción)

Aquí está el corazón del asunto. La rotación segura se apoya en el hecho de que un dominio puede tener varios selectores activos al mismo tiempo (ver el selector). La secuencia:

1. Generar una nueva clave bajo un nuevo selector (por ejemplo s2), y publicar su clave pública en DNS —sin tocar el antiguo selector (s1).
2. Dejar propagar y verificar que la nueva clave pública es bien visible en todas partes.
3. Cambiar la firma del lado de la plataforma para que firme en adelante con s2.
4. Vigilar unos días: confirmar que las nuevas firmas (s2) pasan y se alinean en los informes agregados.
5. Retirar el antiguo selector (s1) —pero solo tras un plazo suficiente.

Durante toda la transición, los dos selectores coexisten: el correo firmado con la clave antigua sigue siendo verificable, y el nuevo también. Es ese solapamiento lo que hace la rotación sin interrupción.

La trampa que hay que evitar a toda costa

El error clásico es retirar el antiguo selector demasiado pronto. El correo firmado con la clave antigua puede estar aún en tránsito, en cola de espera, o almacenado para un envío diferido. Eliminar su selector antes de que esté todo entregado hace fallar su firma en la verificación —aunque el mensaje sea perfectamente legítimo. La regla: el antiguo selector se deja en su sitio varios días tras haber cambiado la firma, el tiempo de que todo el correo antiguo haya sido procesado. Mejor un selector de más unos días que una firma rota.

El otro extremo: los selectores fantasma

La retirada prematura rompe firmas; la ausencia de retirada crea otro problema. Un antiguo selector dejado publicado indefinidamente sigue siendo una clave válida a ojos de los destinatarios: quienquiera que posea la clave privada correspondiente —una copia de seguridad olvidada, un antiguo servidor, un proveedor que se fue— puede aún firmar correo verificable en nombre del dominio, años después. Cada rotación debe, por tanto, concluir con la retirada efectiva del antiguo registro DNS, una vez transcurrido el plazo de solapamiento. Buena práctica complementaria: mantener un inventario de los selectores realmente publicados en el dominio y repasarlo de vez en cuando. Los selectores fantasma se acumulan en silencio a lo largo de las plataformas probadas y luego abandonadas, y cada uno es una puerta trasera potencial que ningún informe señalará espontáneamente.

Rotación manual o automatizada

Dos enfoques, según la configuración:

• Automatizada. Cuando la firma pasa por una plataforma que propone el CNAME (Microsoft 365, muchos SaaS), la rotación suele estar delegada: el proveedor rota la clave detrás del CNAME publicado una sola vez. Es lo ideal —no queda nada que hacer.
• Manual. Cuando la infraestructura es propia o el TXT se publica en duro, la rotación se pilota internamente, según la secuencia del doble selector de más arriba. Es más trabajo, pero perfectamente factible con un procedimiento escrito y un calendario.

Dónde almacenar las claves privadas DKIM

La rotación no sirve de nada si las claves privadas andan por un archivo de configuración accesible o un correo. La clave privada DKIM es un secreto crítico: quienquiera que la obtenga puede firmar correo en nombre del dominio. Merece, por tanto, el mismo cuidado que cualquier secreto de producción —almacenamiento cifrado, acceso trazado, rotación con herramientas.

DMARC.com está editado por Hucency, especialista en ciberseguridad; para centralizar y cifrar este tipo de secretos —claves privadas DKIM, credenciales DNS, tokens de API— y orquestar su rotación, existe Hucency Vault. Una buena política de rotación DKIM presupone un lugar seguro donde vivan las claves; el cofre es ese eslabón a menudo descuidado.

Construir un calendario de rotación

La mejor rotación es la que no hay que acordarse de hacer. En lugar de confiar en la memoria, la rotación DKIM se inscribe en un calendario de seguridad, al mismo nivel que la renovación de los certificados TLS. Una cadencia semestral o anual, anotada por adelantado, transforma un gesto que genera ansiedad en una rutina previsible. El procedimiento se documenta una vez —qué selector, qué plataforma, qué tamaño de clave, cuántos días de solapamiento— y cada rotación siguiente ya no es más que una ejecución, no una reinvención. Para los dominios con varias plataformas, las rotaciones se escalonan en lugar de hacerse todas el mismo día: limita la superficie de riesgo si un cambio sale mal, y mantiene la atención disponible para vigilar cada transición una por una.

Caso de urgencia: una clave comprometida

La rotación planificada es una cosa; la rotación de urgencia es otra. Ante la menor razón para pensar que una clave privada se ha filtrado —servidor comprometido, copia de seguridad expuesta, salida de un proveedor con accesos— no hay que esperar al vencimiento planificado: la rotación es inmediata. La secuencia sigue siendo la misma (nuevo selector, nueva clave, cambio de la firma), pero el solapamiento se acorta y la clave antigua se revoca lo antes posible publicando un p= vacío en su selector, lo que invalida cualquier firma que la reclame. Una clave comprometida que se deja viva es una puerta abierta a la suplantación firmada: el atacante puede producir mensajes que pasan DKIM en nombre del dominio, el peor escenario posible. Se trata como una fuga de contraseña —rotación y revocación sin demora— y el incidente se documenta para su trazabilidad.

Verificar que una rotación ha ido bien

Tras una rotación, dos controles bastan:

1. El nuevo selector firma y se alinea: los informes deben mostrar las firmas s2 que pasan. Ver cómo verificar una firma de correo.
2. Ninguna firma legítima se rompe durante la transición: la vigilancia busca la ausencia de fallos DKIM repentinos en las fuentes reales.

Nuestro analizador gratuito confirma la presencia y la validez de las claves públicas en el selector actual, un vistazo útil justo después de un cambio.

Preguntas frecuentes

¿Con qué frecuencia renovar? Cada seis meses o un año para la mayoría de los casos. Lo importante es que sea planificado y sistemático, no la frecuencia perfecta.

¿La rotación interrumpe el envío? No, con el método del doble selector: las dos claves coexisten durante la transición, así que ninguna interrupción.

¿Cuándo se puede retirar el antiguo selector? Varios días después de haber cambiado la firma, el tiempo de que todo el correo antiguo haya sido entregado. Retirar demasiado pronto rompe firmas legítimas.

¿Mi plataforma gestiona la rotación? Con un CNAME proporcionado por el proveedor, probablemente sí. Con un TXT publicado en duro, el pilotaje es interno.

¿Hay que cambiar de selector en cada rotación? Sí, en eso reside todo el interés: una nueva clave bajo un nuevo selector permite el solapamiento sin interrupción. Reutilizar el mismo selector para una nueva clave crea una ventana en la que las firmas fallan.

DKIM y cumplimiento: lo que los marcos esperan

En un entorno regulado —finanzas, salud, administraciones públicas— la rotación de las claves DKIM puede dejar de ser una simple elección de buena práctica para convertirse en una exigencia documentada. Marcos como ISO 27001 (controles criptográficos §A.10) o NIS2 esperan una política de gestión de secretos que incluya su renovación periódica. Una clave DKIM puesta hace cinco años y nunca renovada es difícilmente defendible en una auditoría. La trazabilidad cuenta también: quién generó la clave, cuándo, qué tamaño, cuál es la fecha de la próxima rotación —otros tantos elementos que los auditores pueden pedir. Un registro de rotaciones DKIM sencillo (fecha, selector, plataforma, tamaño) despacha estas situaciones sin esfuerzo, y muestra que la seguridad del correo se pilota, no se sufre. No es mucho trabajo, pero es exactamente lo que marca la diferencia entre «lo gestionamos» y «documentamos que lo gestionamos».

Thomas marca el ritmo de las rotaciones

Una rotación olvidada deja envejecer una clave; una rotación chapucera rompe firmas. Thomas, el CISO virtual, sigue la edad de las claves DKIM, avisa cuándo es hora de rotar, guía la secuencia del doble selector, y verifica en los informes que el cambio se ha hecho sin roturas.

Analizar un dominio gratis o crear una cuenta para tener claves DKIM siempre frescas y bien guardadas.