Consideraciones sobre claves DKIM

Descripción general

Cuando firma sus emails digitalmente con un DomainKeys Identified Mail (DKIM), la clave prueba que el mensaje proviene de su dominio. Esa firma es un estándar de la industria.

Salesforce utiliza pares de claves DKIM para firmar email saliente enviado en nombre de su compañía, lo que aumenta la reputación de su dominio como remitente legítimo. Cada par de claves DKIM consta de una clave privada y una pública. Salesforce publica la clave pública y las claves privadas se almacenan en Salesforce. Estas claves vinculadas verifican su dominio de email de envío y ayudan a verificar la autenticidad de sus emails salientes.

Durante el transporte de correo, Salesforce utiliza su clave privada para generar una firma DKIM y luego agrega esa firma a los emails salientes. Cuando el destinatario recibe el email, la firma DKIM se valida con la clave pública a través del registro DNS público de su dominio. Esta validación prueba que el remitente es quien dice ser.

En Salesforce, una clave DKIM activa también verifica que es propietario del dominio. Salesforce puede enviar email en nombre de sus usuarios solo cuando se verifican el dominio y la dirección de email. Para obtener más información, consulte Requisitos para enviar email desde Salesforce.

Rotación de claves DKIM

Por motivos de seguridad, Salesforce rota sus claves DKIM cada 30 días. El ciclo de rotación comienza cuando se crea y se publica un par de claves DKIM.

Un par de claves DKIM contiene una clave pública y una clave privada.

• Clave DKIM principal: Su par de claves DKIM público-privado principal y activo.
• Clave DKIM alternativa: Su par de claves públicas-privadas secundario e inactivo, utilizado para sustituir el par de claves principales durante la rotación.

Cuando configura una clave DKIM, configura registros CNAME que apuntan a los pares de claves privadas principal y secundaria. Salesforce rota las claves por usted.

Cronología de rotación

Esta es la cronología de eventos que comienzan la primera vez que se publica una clave DKIM. Después de activar una clave DKIM, Salesforce realiza cada una de estas acciones por usted.

• Día 0: Se publica el par de claves DKIM principales.
• Día 25: Salesforce crea un par de claves DKIM alternativas en preparación para la rotación. Salesforce publica el par de claves alternativo en DNS, 5 días antes de la rotación, de modo que todos los servidores DNS sepan del nuevo par de claves.
• Día 30: Salesforce marca el par de claves alternativo como activo y firma emails con la clave recién activa para los próximos 30 días.

Pares de claves DKIM múltiples

Si múltiples claves DKIM activas coinciden con el dominio de envío, Salesforce utiliza la clave con el patrón de coincidencia de dominio más largo. Si múltiples claves activas tienen el mismo patrón de coincidencia más larga, Salesforce selecciona aleatoriamente una de las claves para utilizar.

Ejemplo: Envía email desde Salesforce con el dominio sales.mail.example.com. Si existen pares de claves DKIM para estos tres patrones de coincidencia de dominio, Salesforce utiliza las claves en este orden.

• .sales.mail.example.com
• .mail.ejemplo.com
• .ejemplo.com

Consultar sus claves DKIM

Para obtener información acerca de cómo consultar sus claves DKIM y dominios de email autorizados, consulte Obtener una lista de sus dominios de envío de email verificados

DKIM para verificación de email a nivel de dominio

Salesforce requiere verificación de email a nivel de dominio y nivel de usuario. Salesforce puede enviar emails en nombre de sus usuarios solo después de que ambos niveles de verificación estén completos.

Para la verificación a nivel de dominio, el nombre de dominio de una clave DKIM activa debe coincidir con el dominio completo mostrado en la dirección “De”. Para evitar fallos de entrega, active una clave DKIM separada para cada dominio y subdominio de envío de email. Consulte Requisitos para enviar email desde Salesforce.

DKIM para la verificación de email a nivel de usuario

A petición de nuestros clientes, Salesforce ofrece la opción de utilizar la verificación a nivel de dominio para omitir el requisito de verificación de email a nivel de usuario. Sin embargo, Salesforce no recomienda esa opción debido a los riesgos de seguridad. Para proteger su marca y negocio, Salesforce recomienda encarecidamente que active Requerir verificación por email para todas las claves DKIM activas. Consulte Consideraciones para enviar email desde Salesforce.