Solución de problemas de DKIM en Amazon SES

Modo de enfoque

Solución de problemas de DKIM en Amazon SES - Amazon Simple Email Service

En esta sección se enumeran algunos de los problemas que puede encontrar al configurar la autenticación de DKIM en Amazon SES. Si intenta configurar DKIM y encuentra problemas, revise las posibles causas y las soluciones que aparecen a continuación.

Ha configurado DKIM correctamente, pero sus mensajes no están firmados por DKIM

Si ha utilizado Easy DKIM o BYODKIM para configurar DKIM para un dominio, pero los mensajes que envía no están firmados por DKIM, haga lo siguiente:

Asegúrese de que DKIM está habilitado para la identidad correcta. Para habilitar DKIM para una identidad en la consola de Amazon SES, elija el dominio de correo electrónico en la lista Identities (Identidades). En la página de detalles del dominio, expanda DKIM y, a continuación, seleccione Enable (Habilitar) para habilitar DKIM.
Asegúrese de que no realiza el envío desde una dirección de correo electrónico verificada en el mismo dominio. Si configura DKIM para un dominio, todos los mensajes que envíe desde ese dominio estarán firmados por DKIM, excepto las direcciones de correo electrónico que haya verificado individualmente. Las direcciones de correo electrónico verificadas individualmente utilizan ajustes independientes. Por ejemplo, si ha configurado DKIM para el dominio example.com y ha verificado por separado la dirección de correo electrónico mary@example.com (pero no ha configurado DKIM para la dirección), los mensajes de correo electrónico que envíe desde mary@example.com se enviarán sin autenticación de DKIM. Puede resolver este problema si elimina la identidad de la dirección de correo electrónico de la lista de identidades de su cuenta.
Si usa la misma identidad en más de una AWS región, debe configurar el DKIM para cada región por separado. Del mismo modo, si usa el mismo dominio con más de una AWS cuenta, debe configurar el DKIM para cada cuenta. Si elimina los registros DNS necesarios para una región o cuenta específica, Amazon SES desactiva el inicio de sesión de DKIM solo para esa región o cuenta. Si se desactiva el inicio de sesión de DKIM, Amazon SES le envía una notificación por correo electrónico.

Los detalles de DKIM del dominio en la consola de Amazon SES muestran DKIM: waiting on sender verification... (DKIM: esperando la verificación del remitente...). DKIM Verification Status: pending verification (estado de verificación de DKIM: verificación pendiente).

Si completa los procedimientos de DKIM fácil: o BYODKIM: utilice su propio DKIM para configurar DKIM para un dominio, pero la consola de Amazon SES sigue indicando que la verificación de DKIM está pendiente, haga lo siguiente:

Espere hasta 72 horas. En casos excepcionales, los registros DNS demoran en estar visibles para Amazon SES.
Confirme que el registro CNAME (para Easy DKIM) o el registro TXT (para BYODKIM) utilizan el nombre correcto. Algunos proveedores de DNS añaden automáticamente el nombre de dominio a los registros que crea. Por ejemplo, si crea un registro con un nombre de example._domainkey.example.com, su proveedor de DNS podría añadir el nombre de su dominio al final de esta cadena, lo que daría como resultado example._domainkey.example.com.example.com. Para obtener más información, consulte la documentación de su proveedor de DNS.

Recibe un correo electrónico de Amazon SES que le informa de que su configuración de DKIM ha sido (o será) revocada.

Esto significa que Amazon SES ya no puede encontrar los registros CNAME necesarios (si ha utilizado Easy DKIM) o los registros TXT necesarios (si ha utilizado BYODKIM) en su servidor DNS. El correo electrónico de notificación le informará de la duración en la que debe volver a publicar los registros DNS antes de que se revoque el estado de configuración de DKIM y se deshabilite la firma DKIM. Si su configuración de DKIM se revoca, debe reiniciar el procedimiento de configuración de DKIM desde el principio.

Cuando se intenta configurar BYODKIM, no se realiza el proceso de verificación de DKIM

Asegúrese de que su clave privada utiliza el formato correcto. La clave privada debe estar en formato PKCS #1 o PKCS #8 y utilizar el cifrado RSA de 1024 o 2048 bits. Además, la clave privada debe estar codificada en base64.

Durante la configuración de BYODKIM, recibe un error BadRequestException cuando intenta especificar una clave pública para el dominio.

Si recibe un error BadRequestException, haga lo siguiente:

Asegúrese de que el selector que especifique para la clave pública contenga entre 1 y 63 caracteres alfanuméricos. El selector no puede incluir puntos u otros símbolos o signos de puntuación.
Asegúrese de que ha eliminado las líneas de encabezado y pie de página de la clave pública, y que ha eliminado todos los saltos de línea de la clave pública.

Al utilizar Easy DKIM, los servidores DNS devuelven correctamente los registros CNAME de DKIM de Amazon SES, pero devuelven SERVFAIL para el registro TXT de verificación del dominio.

Es posible que el proveedor de DNS no pueda redirigir los registros CNAME. Amazon SES y ISPs consulta registros TXT. Para cumplir con la especificación de DKIM, sus servidores DNS deben ser capaces de responder a las consultas de registros TXT, así como a consultas de registros CNAME. Si el proveedor DNS no puede responder a las consultas de registros TXT, una alternativa es utilizar Route 53 como proveedor de alojamiento DNS.

Sus correos electrónicos contienen dos firmas de DKIM