Problemas al configurar los registros CNAME

Domain Keys Identified Mail (DKIM) es un método de autenticación de correo electrónico que verifica criptográficamente que un correo electrónico ha sido enviado por servidores de confianza y no ha sido manipulado.

Este artículo explica qué son DKIM y CNAME, antes de describir los pasos que debes seguir si la comprobación de DKIM falla cuando intentas añadir registros CNAME a tu dominio personalizado en Proton Mail(ventana nueva).

¿Cómo funciona DKIM?

Cuando un servidor envía un correo electrónico para tu dominio, calculará un hash cifrado del contenido del correo electrónico utilizando una clave privada (que solo conocen los servidores de confianza) y lo añadirá a los encabezados del correo electrónico como una firma DKIM.

El servidor receptor verificará el contenido del correo electrónico buscando la clave pública correspondiente en los registros DNS de tu dominio, descifrando el hash cifrado y calculando un nuevo hash basado en el contenido del correo electrónico que recibió para ver si el hash descifrado coincide con el nuevo hash. Si hay una coincidencia, el correo electrónico no habrá cambiado, por lo que DKIM se supera. De lo contrario, DKIM falla y el correo electrónico se trata con sospecha.

¿Qué son los registros CNAME?

Recomendamos añadir en Proton Mail tres registros contra la suplantación de identidad: SPF, DKIM y DMARC. Utilizamos registros CNAME para gestionar la rotación automática de claves DKIM, lo cual es una práctica recomendada de seguridad aceptada. Esto garantiza que siempre haya una clave activa que se use para proporcionar un servicio ininterrumpido mientras que las otras claves se retiran y se vuelven a crear automáticamente de forma periódica para una mayor seguridad.

Consulta Presentación de la gestión de claves DKIM para ver este tema en más detalle.

Los registros CNAME que añadas a la configuración de DNS de tus dominios deben coincidir exactamente con los que se muestran en tu asistente de configuración. Una vez que detectemos estos registros en la configuración de DNS de tu dominio, el icono de la pestaña DKIM en la página de configuración de Editar dominio se volverá verde. A continuación, te notificaremos y empezaremos a firmar los correos electrónicos salientes de tu dominio personalizado con DKIM, tal como hacemos con otras direcciones de Proton Mail.

Qué hacer si la comprobación de DKIM falla

Hay tres motivos posibles por los que la comprobación de DKIM podría fallar:

1. Has introducido un valor CNAME incorrecto en la configuración de DNS de tu dominio.

Esto es poco probable si has copiado y pegado los valores de nuestra página de configuración de Editar dominio, pero siempre merece la pena comprobarlo. Ve a Configuración -> Todos los ajustes -> Nombres de dominio -> pulsa el botón Verificar al lado del dominio -> pestaña DKIM para ver los valores necesarios.

Los registros CNAME que añadas a la configuración de DNS de tus dominios deben ser una coincidencia exacta con los que se muestran en tu asistente de configuración.

2. Algunos registradores no aceptan valores CNAME con un punto al final.

Mientras que otros lo requieren. Si tu registrador no acepta tus registros CNAME con un punto al final, elimina el punto al final de cada valor CNAME e inténtalo de nuevo.

3. Tienes un registro DKIM como TXT existente que debe eliminarse.

Si has configurado previamente la rotación manual de claves DKIM para tu dominio mediante un registro TXT, debes eliminar este registro de la configuración de DNS antes de introducir los registros CNAME. Tienes que volver a configurar tus ajustes de DNS con registros CNAME porque permiten a Proton Mail configurar la rotación automática de claves, mientras que tu registro TXT actual no lo hace.

Una vez que hayas eliminado este registro TXT, puedes seguir las instrucciones para nuevos usuarios. DKIM dejará de firmar tus correos electrónicos una vez que elimines el registro TXT. Para mantener la protección de DKIM, debes introducir tus nombres de host y valores CNAME en tu configuración de DNS inmediatamente.

Aconsejamos encarecidamente a todas las personas que utilicen actualmente la rotación manual de claves DKIM que cambien al nuevo sistema automático de rotación de claves. Esto no solo eliminará la necesidad de que rotes tus claves manualmente, sino que también mejorará automáticamente la seguridad de tus claves si estás usando claves de 1024 bits.