Todas las guías · Actualizado: 2026-10-18

DKIM en Google Workspace: firmar tus correos con tu dominio

Comprobamos 1500 webs de pequeños negocios (tiendas Shopify, webs de Wix y apps en Vercel). En la mitad de las que tienen el correo en Google Workspace, el DKIM nunca se activó. Fue el problema de correo más común que encontramos, y se corrige en unos 10 minutos, más la espera del DNS.

Sin DKIM en tu dominio, Google firma tus correos con un dominio suyo. Esa firma nunca coincide con el tuyo, así que la protección contra correos falsos (el DMARC) se queda solo con el SPF, que falla cuando un mensaje se reenvía.

Antes de empezar

Necesitas una cuenta de administrador de Google Workspace y acceso al sitio donde gestionas el DNS del dominio: donde compraste el dominio, Cloudflare, Wix…

Si activaste Gmail hace menos de 3 días, espera: Google solo da la clave DKIM entre 24 y 72 horas después.

Paso 1: generar la clave en la consola de Google

Entra en admin.google.com con la cuenta de administrador.
Abre Menú › Aplicaciones › Google Workspace › Gmail › Autenticar correo electrónico (Authenticate email).
Elige el dominio y pulsa Generar registro nuevo (Generate new record).
En la longitud de la clave, elige 2048. Elige 1024 solo si tu proveedor de DNS no acepta claves largas. Deja el prefijo google.
Pulsa Generar (Generate). Google muestra el nombre del registro y un valor largo que empieza por v=DKIM1.

Paso 2: poner el registro en el DNS

Donde gestionas el DNS, añade un registro TXT:

Tipo: TXT
Nombre (host): google._domainkey
Valor: v=DKIM1; k=rsa; p=MIIBIjANBgkqh… (el valor completo que muestre Google)

Copia el valor completo: es largo y a veces no cabe en la pantalla. En la mayoría de los paneles se escribe solo google._domainkey en el nombre, y el dominio se añade solo.

Cloudflare: DNS › Records › Add record, tipo TXT.
Otros proveedores: busca «añadir registro TXT» en su ayuda.

Algunos proveedores limitan el tamaño de un registro TXT. Si el tuyo rechaza el valor, vuelve al paso 1 y genera una clave de 1024 bits.

Si el DNS de tu dominio está en Wix: la guía de Wix

Paso 3: activar la autenticación

Vuelve a la consola de Google, a la misma página, y pulsa Iniciar autenticación (Start authentication). Cuando funcione, el estado arriba de la página cambia a «Autenticando correo electrónico con DKIM» (Authenticating email with DKIM).

Es el paso que más se olvida. Sin él, la clave queda publicada pero tus correos siguen saliendo sin tu firma. El DNS puede tardar hasta 48 horas: si Google todavía no encuentra el registro, inténtalo más tarde.

Paso 4: comprobar que funciona

Envía un correo desde tu cuenta a una cuenta de Gmail. Ábrelo, pulsa los tres puntos › Mostrar original (Show original) y busca la línea del DKIM: debe decir PASS con tu dominio.

También puedes comprobar el dominio aquí. Si desaparece el aviso «Google Workspace no firma tu correo con tu dominio», la clave está publicada.

Errores que vemos a menudo

La clave publicada en el DNS, pero sin el clic en «Iniciar autenticación».
El valor copiado solo en parte, porque no cabía en la pantalla.
El dominio escrito en el nombre del registro y repetido por el panel. Basta con google._domainkey.
Una clave antigua de 1024 bits. Funciona, pero Google recomienda 2048: cámbiala cuando tengas tiempo, no es urgente.

¿Y después del DKIM?

Con el DKIM y el SPF bien, el siguiente paso es que el DMARC frene los correos falsos: pasar de p=none a p=quarantine, sin perder correos por el camino.

De p=none a p=quarantine, paso a paso

Para no tener que volver a comprobarlo

Un cambio de proveedor de correo o un registro borrado por error bastan para que la firma deje de funcionar, y nadie se da cuenta. Excubitor puede vigilar el dominio cada semana y escribirte solo cuando algo cambia. Gratis para 1 dominio: haz la comprobación y pulsa «Avísame».