Todas las guías · Actualizado: 2026-10-18

DKIM en Microsoft 365: firmar tus correos con tu dominio

Comprobamos 1500 webs de pequeños negocios (tiendas Shopify, webs de Wix y apps en Vercel). En más de un tercio de las que tienen el correo en Microsoft 365, el DKIM nunca se activó. Para tu propio dominio, Microsoft 365 no lo activa solo: hay que hacerlo una vez, en el portal de Microsoft Defender.

Sin DKIM en tu dominio, Microsoft 365 firma tus correos como tunombre.onmicrosoft.com. Esa firma nunca coincide con tu dominio, así que la protección contra correos falsos (el DMARC) se queda solo con el SPF, que falla cuando un mensaje se reenvía.

Antes de empezar

Necesitas una cuenta de administrador de Microsoft 365 y acceso al sitio donde gestionas el DNS del dominio: donde compraste el dominio, Cloudflare, Wix…

Paso 1: abrir el DKIM en Microsoft Defender

Entra en security.microsoft.com con la cuenta de administrador.
Abre Correo electrónico y colaboración › Directivas y reglas › Directivas de amenazas › Configuración de autenticación de correo electrónico (Email & collaboration › Policies & rules › Threat policies › Email authentication settings) y elige la pestaña DKIM.
En la fila de tu dominio, intenta activar el interruptor (Toggle). Aparece un error (Client error) con los valores de los registros: es normal, porque los registros todavía no existen. Pulsa OK.
Haz clic en la fila del dominio, fuera del interruptor. En el panel que se abre, la sección Publicar CNAME (Publish CNAMEs) muestra los dos registros que crear. Deja este panel abierto.

Paso 2: crear los dos registros CNAME en el DNS

Donde gestionas el DNS, crea dos registros CNAME, con los valores exactamente como los muestra el portal:

Tipo: CNAME
Nombre (host): selector1._domainkey
Valor: selector1-tudominio-es._domainkey.… (copia el valor del portal)

Tipo: CNAME
Nombre (host): selector2._domainkey
Valor: selector2-tudominio-es._domainkey.… (copia el valor del portal)

No copies los valores de otro sitio, ni de esta guía: desde mayo de 2025 los dominios nuevos usan un formato (que termina en dkim.mail.microsoft) y los antiguos otro (que termina en onmicrosoft.com), y solo el portal sabe cuál es el tuyo.

Cloudflare: DNS › Records › Add record, tipo CNAME. Deja el registro en «DNS only» (nube gris): con el proxy activado, el DKIM no funciona.
Otros proveedores: busca «añadir registro CNAME» en su ayuda. En la mayoría se escribe solo selector1._domainkey en el nombre.

Si el DNS de tu dominio está en Wix: la guía de Wix

Paso 3: activar la firma

Espera unos minutos (a veces más) a que Microsoft encuentre los registros. Después, en el panel que dejaste abierto, activa Firmar los mensajes de este dominio con firmas DKIM (Sign messages for this domain with DKIM signatures).

Cuando funciona, el estado del dominio pasa a Signing DKIM signatures for this domain. Si sigue en CnameMissing, Microsoft todavía no ve los registros: confirma el nombre y el valor de los dos, e inténtalo más tarde.

Paso 4: comprobar que funciona

Envía un correo desde tu cuenta a una cuenta de Gmail. Ábrelo, pulsa los tres puntos › Mostrar original (Show original) y busca la línea del DKIM: debe decir PASS con tu dominio.

También puedes comprobar el dominio aquí. Si desaparece el aviso «Microsoft 365 no firma tu correo con tu dominio», los registros están publicados.

Errores que vemos a menudo

Los dos CNAME creados, pero el interruptor «Firmar los mensajes…» nunca activado.
Valores copiados de otra guía, en el formato equivocado para tu dominio.
Solo uno de los dos registros. Hacen falta los dos: Microsoft alterna entre ellos cuando cambia las claves.
En Cloudflare, los CNAME con la nube naranja (proxy). Tienen que quedar en «DNS only».
Una clave antigua de 1024 bits. Funciona, pero lo recomendado es 2048. El cambio no se hace en el portal: se hace en PowerShell de Exchange Online (Rotate-DkimSigningConfig -KeySize 2048). No es urgente.

¿Y después del DKIM?

Con el DKIM y el SPF bien, el siguiente paso es que el DMARC frene los correos falsos: pasar de p=none a p=quarantine, sin perder correos por el camino.

De p=none a p=quarantine, paso a paso

Para no tener que volver a comprobarlo

Un cambio de proveedor de correo o un registro borrado por error bastan para que la firma deje de funcionar, y nadie se da cuenta. Excubitor puede vigilar el dominio cada semana y escribirte solo cuando algo cambia. Gratis para 1 dominio: haz la comprobación y pulsa «Avísame».