{"id":1414,"date":"2022-01-01T12:56:00","date_gmt":"2022-01-01T12:56:00","guid":{"rendered":"https:\/\/www.mainmind.com\/blog\/?p=1414"},"modified":"2025-12-11T12:31:32","modified_gmt":"2025-12-11T12:31:32","slug":"dkim-en-microsoft-365-desde-powershell","status":"publish","type":"post","link":"https:\/\/www.mainmind.com\/blog\/dkim-en-microsoft-365-desde-powershell\/","title":{"rendered":"DKIM en Microsoft 365 desde PowerShell"},"content":{"rendered":"\n

No hay sistema 100% seguro pero las medidas a aplicar para la mejora de la seguridad son continuas, para incrementar la de los correos salientes en dominios personalizados con planes Microsoft 365, debemos a\u00f1adir 2 registros CNAME a nuestro DNS, sustituyendo \u00abMiDominio\u00bb y \u00abMiTenant\u00bb por el correspondiente:<\/p>\n\n\n

\nselector1._domainkey CNAME 3600 selector1-MiDominio-com._domainkey.MiTenant.onmicrosoft.com\nselector2._domainkey CNAME 3600 selector2-MiDominio-com._domainkey.MiTenant.onmicrosoft.com\n<\/pre><\/div>\n\n\n
Para conectar desde PowerShell aprovecharemos para actualizar los modulos EXO V2<\/a> (de paso los de Azure) y establecer la pol\u00edtica de ejecuci\u00f3n…<\/p>\n\n\n\n\n\n\n
\nInstall-Module PowershellGet -Force\nUpdate-Module PowershellGet\nSet-ExecutionPolicy -scope CurrentUser -executionPolicy RemoteSigned\nInstall-Module -Name ExchangeOnlineManagement\nInstall-Module AzureAD\nInstall-Module AzureRM\n<\/pre><\/div>\n\n\n
Si solo tenemos un tenant asociado:<\/p>\n\n\n
\nConnect-ExchangeOnline\n<\/pre><\/div>\n\n\n
Si tenemos permisos para acceder a varios tenants:<\/p>\n\n\n
\nInstall-Module MSOnline\nConnect-MsolService\nGet-MsolPartnerContract -All | Select-Object TenantId, Name\n\n$Tenants = Get-MsolPartnerContract -All; $Tenants | foreach {$Domains = $_.TenantId; Get-MsolDomain -TenantId $Domains | fl @{Label="TenantId";Expression={$Domains}},name}\n\nConnect-ExchangeOnline -UserPrincipalName nombre@MiEmail.com -DelegatedOrganization TenantAsociado.onmicrosoft.com\n<\/pre><\/div>\n\n\n
Actualizado<\/em><\/strong>: es posible conectar directamente con un comando desde PowerShell y nos pedir\u00e1 autenticar en un popup, aseg\u00farate de tener actualizado PowerShell y de lanzarlo en modo NoProfile si tienes problemas con la selecci\u00f3n de cuenta en el navegador:<\/p>\n\n\n
\nConnect-ExchangeOnline -DelegatedOrganization TenantAsociado.onmicrosoft.com\nConnect-ExchangeOnline -DelegatedOrganization DominioPersonalizado.com\n<\/pre><\/div>\n\n\n
Ahora estaremos conectados a la consola de administraci\u00f3n desde PowerShell y podremos (entre otras muchas funciones) activar la configuraci\u00f3n DKIM:<\/p>\n\n\n
\nSet-DkimSigningConfig -Identity MiDominio.com -Enabled $true\nGet-DkimSigningConfig\nGet-DkimSigningConfig -Identity MiDominio.com | Format-List\n<\/pre><\/div>\n\n\n
En el caso de no estar creadas o querer actualizar de 1024 a 2048 las claves:<\/p>\n\n\n
\nNew-DkimSigningConfig -DomainName MiDominio.com -KeySize 2048 -Enabled $true\n<\/pre><\/div>\n\n\n
En el caso de no configurar correctamente las DNS o todav\u00eda no se han propagado los cambios, el comando muestra el correspondiente error en pantalla:<\/p>\n\n\n
\n
\"\"<\/figure>\n<\/div>\n\n\n
Con DKIM activado conforme los usuarios envien nuevos emails se ir\u00e1n a\u00f1adiendo en las cabeceras las firmas DKIM<\/a> (DomainKeys Identified Mail), no se firma el contenido por defecto.<\/p>\n\n\n\n
Si ya ten\u00edamos configurada la entrada SPF por defecto de Microsoft<\/a> con un registro TXT en el DNS:<\/p>\n\n\n
\nv=spf1 include:spf.protection.outlook.com -all\n<\/pre><\/div>\n\n\n
En el caso de obtener errores de comprobaci\u00f3n de DKIM en el selector2 pero funcionar en el selector1, podemos forzar rotar las claves del dominio:<\/p>\n\n\n
\nRotate-DkimSigningConfig -KeySize 2048 -Identity MiDominio.com\n<\/pre><\/div>\n\n\n
Dependiendo del n\u00famero de usuarios del dominio, podemos a\u00f1adir los registros DMARC<\/a> (Domain-based Message Authentication, Reporting, and Conformance):<\/p>\n\n\n
\n_dmarc 600\tTXT v=DMARC1; p=quarantine; pct=100; ruf=mailto:ruf@MiDominio.com; rua=mailto:rua@MiDominio.com\n<\/pre><\/div>\n\n\n
<\/p>\n\n\n\n
NOTA: acceso alternativo v\u00eda web desde el panel aqu\u00ed<\/a>.<\/p>\n\n\n\n
<\/p>\n\n\n\n
ACTUALIZADO: Microsoft en sus integraciones de DKIM ha cambiado los nombres de los puntos de destino, comprueba desde powershell:<\/p>\n\n\n
\nGet-DkimSigningConfig -Identity contoso.com | Format-List Name,Enabled,Status,Selector1CNAME,Selector2CNAME\n<\/pre><\/div>\n\n\n
Los nuevos tienen este formato para dominios personalizados:<\/p>\n\n\n
\nselector2-MiDominio-com._domainkey.MiTenant.y-v1.dkim.mail.microsoft\n<\/pre><\/div>","protected":false},"excerpt":{"rendered":"
No hay sistema 100% seguro pero las medidas a aplicar para la mejora de la seguridad son continuas, para incrementar la de los correos salientes en dominios personalizados con planes Microsoft 365, debemos a\u00f1adir 2 registros CNAME a nuestro DNS, sustituyendo \u00abMiDominio\u00bb y \u00abMiTenant\u00bb por el correspondiente: Para conectar desde PowerShell aprovecharemos para actualizar los […]<\/p>\n","protected":false},"author":1,"featured_media":1417,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[19],"tags":[844,763,384,381,847,123,848],"class_list":["post-1414","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-seguridad","tag-dkim","tag-dns","tag-email","tag-microsoft-365","tag-multitenant","tag-powershell","tag-tenant"],"_links":{"self":[{"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/posts\/1414","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/comments?post=1414"}],"version-history":[{"count":2,"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/posts\/1414\/revisions"}],"predecessor-version":[{"id":2486,"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/posts\/1414\/revisions\/2486"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/media\/1417"}],"wp:attachment":[{"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/media?parent=1414"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/categories?post=1414"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.mainmind.com\/blog\/wp-json\/wp\/v2\/tags?post=1414"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}