DKIM suele romperse tras migrar correo o DNS porque selector, propietario de la clave privada y registro DNS dejan de describir el mismo sistema de firma. Encuentra el selector en un mensaje saliente real; no lo adivines desde el panel.
Lee DKIM-Signature
Registra d= y s= de un mensaje enviado por la ruta nueva. Eso identifica el DNS exacto que consulta el receptor.
Consulta DNS autoritativo
Confirma que selector._domainkey resuelve a la clave actual, sin CNAMEs antiguos o zona obsoleta.
Identifica quién firma
Mover DNS no mueve la clave privada; mover proveedor de correo puede crear selector nuevo. Define si firma SMTP, Microsoft, Google o API.
Permite coexistencia durante migración
Selectores viejo/nuevo pueden convivir mientras cambia el tráfico. Retirar el anterior demasiado pronto rompe rutas aún activas.
Observa propagación real
Consulta nameservers autoritativos y resolvers públicos; “guardado” en el panel no prueba visibilidad externa.
Repite alineación e integridad
La firma debe pasar y, si aplica, alinear DMARC. Gateways que modifican cuerpo/headers tras firmar también pueden invalidarla.
Usa el diagnóstico DKIM y compara con entrega tras mover DNS.
Conserva una tabla de migración de selectores
Para sistema antiguo y nuevo registra proveedor, selector DKIM, dominio d=, destino/valor DNS, primera fecha de envío y fecha prevista de retirada. Durante la transición ambos selectores pueden ser válidos. La tabla deja claro qué registro podrá eliminarse y evita retirar la clave antigua mientras aún firman colas o remitentes legacy.