Prepara el selector nuevo
Crea un selector y par de claves con el proceso admitido por el sistema de correo y publica la clave pública en DNS antes de firmar con ella. Confirma que el TXT esté completo y visible en DNS autoritativo.
Considera propagación y caché según TTL y proveedor. No retires el selector anterior mientras puedan circular mensajes firmados con su clave o se investiguen informes.
Cambia la firma y retira la clave antigua
Configura el envío con el selector nuevo y verifica mensajes de prueba en receptores. Comprueba alineación de firma con el dominio previsto y que la clave pública resuelva.
Tras el periodo de transición, elimina la clave DNS anterior y retira su privada según el procedimiento de seguridad. Documenta responsable del selector y próxima revisión.