SPF, DKIM y DMARC: evita que tu correo acabe en spam
En esta guía se explica spf dkim y dmarc: los tres protocolos de autenticación de correo más importantes, que determinan si tus correos llegan a su destino. Si tienes problemas con la entrega del correo, configurar spf dkim y dmarc es el primer paso hacia una solución.
Envías un presupuesto importante, pero el cliente no lo recibe. O peor: tu correo acaba en la carpeta de spam. Es frustrante, pero a menudo se puede evitar. Con SPF, DKIM y DMARC demuestras que realmente eres quien dices ser.
¿Por qué es importante la autenticación del correo?
El correo electrónico es antiguo y nunca se diseñó pensando en la seguridad. Cualquiera puede enviar un mensaje que parezca venir de info@example.com. Los spammers y los phishers abusan de esto a diario.
SPF, DKIM y DMARC son protocolos que resuelven este problema. Demuestran a los servidores de correo receptores que tu correo es legítimo.
SPF: ¿quién puede enviar correo en nombre de tu dominio?
SPF son las siglas de Sender Policy Framework. Es un registro DNS que define qué servidores de correo pueden enviar correo en nombre de tu dominio.
¿Cómo funciona?
- Publicas un registro SPF en tu DNS
- En él se indica qué servidores pueden enviar correo para tu dominio
- El servidor receptor comprueba si el correo procede de un servidor autorizado
- Si no es así, el correo se rechaza o se marca como spam
Ejemplo de registro SPF
v=spf1 include:filter.theory7.net include:spf.protection.outlook.com -allEsto dice: solo los servidores de Theory7 y Microsoft 365 pueden enviar correo en nombre de este dominio. Todos los demás se rechazan (-all).
DKIM: firma digital
DKIM son las siglas de DomainKeys Identified Mail. Añade a tu correo una firma digital que demuestra que el contenido no se ha modificado por el camino.
¿Cómo funciona?
- Tu servidor de correo firma cada mensaje con una clave privada
- La clave pública está en tu DNS
- El servidor receptor verifica la firma con la clave pública
- Si coincide, el correo es auténtico y no ha sido modificado
DKIM también protege contra la manipulación: si alguien cambia el contenido, la firma deja de coincidir.
DMARC: ¿qué hacer cuando fallan las comprobaciones?
DMARC son las siglas de Domain-based Message Authentication, Reporting & Conformance. Indica a los servidores receptores qué deben hacer cuando falla SPF o DKIM.
Opciones de política de DMARC
- none: no hacer nada, solo informar (para pruebas)
- quarantine: enviar a spam
- reject: rechazar el correo por completo
Ejemplo de registro DMARC
v=DMARC1; p=quarantine; rua=mailto:dmarc@example.comEsto dice: envía a spam los correos que fallen y manda los informes a dmarc@example.com.
¿Cómo se configura?
Paso 1: añadir un registro SPF
Añade un registro TXT a tu DNS con tu configuración SPF. Pregunta a tu proveedor de hosting y de correo qué servidores debes incluir.
Paso 2: activar DKIM
DKIM suele configurarlo tu proveedor de correo. Recibirás un registro TXT que debes añadir a tu DNS.
Paso 3: añadir un registro DMARC
Empieza con p=none para monitorizar. Revisa los informes y pasa después a quarantine o reject.
Probar tu configuración
Usa herramientas en línea para comprobar que todo está bien configurado:
- mail-tester.com: envía un correo de prueba y obtén una puntuación
- mxtoolbox.com: comprueba tus registros DNS
- dmarcanalyzer.com: analiza los informes DMARC
Preguntas frecuentes
¿Tengo que configurar los tres?
Idealmente sí. SPF y DKIM son la base, DMARC lo completa. Sin DMARC, los receptores no saben qué hacer cuando hay problemas.
¿Puedo usar varios proveedores de correo?
Sí, añade todos los proveedores a tu registro SPF. Ojo: SPF no admite más de 10 consultas DNS.
Mi correo sigue acabando en spam, ¿y ahora qué?
Comprueba también el contenido de tu correo. Demasiados enlaces, palabras sospechosas o HTML defectuoso también pueden activar los filtros de spam.
¿Necesitas ayuda?
SPF en detalle
SPF (Sender Policy Framework) es un registro TXT en tu DNS que indica qué servidores pueden enviar correo en nombre de tu dominio.
Cómo funciona SPF
Cuando envías un correo, el servidor receptor comprueba: «¿Está el servidor remitente en el registro SPF de este dominio?» Si es así, probablemente es legítimo. Si no, es posible que sea spam o phishing.
Configurar SPF
Un registro SPF básico tiene este aspecto:
v=spf1 include:_spf.google.com ~all
Esto dice: solo Google puede enviar correo en nombre de este dominio. ~all significa que los demás servidores reciben un «softfail» (una advertencia, pero sin bloqueo).
DKIM en detalle
DKIM (DomainKeys Identified Mail) añade una firma digital a tus correos. El destinatario puede verificar que el correo no se ha modificado por el camino.
Cómo funciona DKIM
- Tu servidor de correo firma cada mensaje con una clave privada
- La clave pública está como registro TXT en tu DNS
- El destinatario verifica la firma con esa clave pública
Configurar DKIM
Tu proveedor de hosting o servicio de correo genera la clave DKIM. Tú añades el registro TXT a tu DNS. Los pasos exactos varían según el proveedor: sigue su documentación.
DMARC en detalle
DMARC (Domain-based Message Authentication, Reporting & Conformance) se basa en SPF y DKIM. Indica a los receptores qué hacer cuando falla la verificación.
Opciones de política de DMARC
- none: solo monitorizar, sin ninguna acción
- quarantine: enviar a spam
- reject: rechazar el correo por completo
Configurar DMARC
Empieza con una política de solo monitorización:
v=DMARC1; p=none; rua=mailto:dmarc@example.com
Recibirás informes sobre quién envía correo en nombre de tu dominio. Si todo parece correcto, endurece la política a quarantine y, más adelante, a reject.
Implementación paso a paso
- Haz inventario: ¿qué servicios envían correo en nombre de tu dominio?
- Configura SPF: añade todas las fuentes legítimas
- Activa DKIM: en tu proveedor de correo y en otros servicios
- Inicia DMARC: empieza con p=none para monitorizar
- Analiza: revisa los informes y corrige los problemas
- Endurece: pasa a quarantine y, más adelante, a reject
Pruebas
Usa herramientas para comprobar tu configuración:
- mail-tester.com: envía un correo de prueba y obtén un informe
- MXToolbox: comprueba tus registros DNS
- Google Postmaster Tools: mira cómo ve Gmail tu dominio
SPF, DKIM y DMARC en distintas situaciones
Configuración sencilla (solo servidor de correo propio)
Si solo envías correo desde tu servidor de hosting, la configuración es relativamente sencilla. Tu proveedor suele tener SPF y DKIM configurados por defecto.
Configuración más compleja (varios servicios)
¿Usas, además de tu propio servidor de correo, servicios como Mailchimp, SendGrid o un CRM? Entonces cada servicio debe figurar en tu registro SPF y tener sus propias claves DKIM.
Un registro SPF con varias fuentes:
v=spf1 include:_spf.example.net include:servers.mcsv.net include:sendgrid.net ~all
Google Workspace o Microsoft 365
Para el correo profesional con Google o Microsoft, sigue sus instrucciones específicas para SPF y DKIM. Ellos te proporcionan los registros DNS exactos que debes añadir.
Errores habituales
- Varios registros SPF (solo puede haber uno)
- Una política DMARC demasiado estricta sin monitorizar antes
- Olvidar añadir un nuevo servicio de correo
- No limpiar los registros antiguos al cambiar de proveedor
Una autenticación de correo correcta hace que tus mensajes lleguen a donde deben llegar. Tómate el tiempo de configurarla bien y pruébala con regularidad.
La verificación del correo mediante SPF, DKIM y DMARC es hoy imprescindible. Los grandes proveedores de correo como Gmail y Outlook se han vuelto cada vez más estrictos. Sin los registros de autenticación adecuados, tus correos acaban en la carpeta de spam o se rechazan por completo.
Merece la pena hacer la configuración técnica, que solo se hace una vez. Pide ayuda a tu proveedor de hosting si te atascas: a menudo pueden crear por ti los registros adecuados. Una vez configurado, no tienes que volver a ocuparte de ello. Tus correos se entregan de forma fiable y proteges tu dominio contra el abuso de los spammers.
La verificación del correo evita que tus mensajes acaben en spam. Configura SPF, DKIM y DMARC correctamente y tus correos llegarán de forma fiable a su destino. Es un pequeño rompecabezas, pero merece con creces el esfuerzo.
La autenticación del correo es compleja pero esencial en 2024. Tómate el tiempo de entenderla bien y de implementarla correctamente para una entrega de correo fiable.
Una autenticación de correo correcta es la clave de una comunicación fiable con tus clientes.
Cómo funcionan juntos SPF, DKIM y DMARC
SPF, DKIM y DMARC no funcionan por separado, sino que forman juntos un sistema de seguridad por capas para tu correo. Así colaboran los tres protocolos:
| Protocolo | Pregunta a la que responde | Qué comprueba |
|---|---|---|
| SPF | ¿Está autorizado el servidor remitente? | Dirección IP del remitente |
| DKIM | ¿Es el mensaje auténtico y no ha sido modificado? | Firma digital en la cabecera |
| DMARC | ¿Qué debe ocurrir si hay una discrepancia? | Alineación de SPF y DKIM con la dirección From |
El proceso de verificación paso a paso
- Se envía un correo desde tu dominio
- El servidor receptor comprueba el registro SPF: ¿está la dirección IP del servidor remitente en la lista?
- El servidor receptor verifica la firma DKIM: ¿coincide la firma con la clave pública del DNS?
- El servidor receptor comprueba la alineación DMARC: ¿coinciden SPF y/o DKIM con la dirección From?
- En función de la política DMARC, el correo se acepta, se pone en cuarentena o se rechaza
- Se envía un informe a la dirección indicada en el registro DMARC
SPF, DKIM y DMARC: implementación en el orden correcto
Implementar correctamente SPF, DKIM y DMARC requiere un enfoque estructurado. No saltes directamente a una política estricta, sino ve avanzando poco a poco:
Fase 1: inventario (semana 1)
Haz una lista de todos los servicios que envían correo en nombre de tu dominio. Piensa en tu servidor de correo, tu sistema CRM, tu plataforma de email marketing, tu software de facturación y los posibles formularios web.
Fase 2: configurar SPF y DKIM (semanas 1-2)
Configura SPF con todas las fuentes identificadas. Activa DKIM en cada servicio que lo admita. Comprueba con mail-tester.com o mxtoolbox.com que la configuración es correcta.
Fase 3: monitorización de DMARC (semanas 2-6)
Configura DMARC con la política p=none. A partir de ahora recibirás informes sobre todo el correo enviado en nombre de tu dominio. Analiza los informes para identificar las fuentes que faltan.
Fase 4: endurecimiento (semana 6+)
Si los informes tienen buen aspecto y todas las fuentes legítimas están correctamente configuradas, endurece la política a p=quarantine. Tras un periodo estable, puedes pasar a p=reject para obtener la máxima protección.
¿Quieres saber más sobre el correo? Lee nuestro artículo sobre migrar el correo a un nuevo hosting o echa un vistazo a las soluciones de correo profesional de Theory7.
En Theory7 te ayudamos a configurar correctamente SPF, DKIM y DMARC. Ponte en contacto con nosotros si tu correo acaba en spam.
SPF DKIM DMARC: resumen y buenas prácticas
Configurar correctamente spf dkim y dmarc es esencial para cualquier configuración de correo profesional. Estos son los puntos más importantes al configurar spf dkim y dmarc para tu dominio.
- Empieza siempre por SPF y añade DKIM después, antes de activar DMARC
- Prueba tu configuración de spf dkim y dmarc con herramientas en línea antes de aplicar una política estricta
- Usa una dirección de correo profesional con tu propio dominio
- Configura primero DMARC con p=none para recibir informes sin bloquear correos
- Revisa con regularidad la configuración DNS de tu dominio para comprobar que los registros son correctos
Con la configuración correcta de spf dkim y dmarc evitas que tus correos acaben en spam. Registra tu dominio con nuestro buscador de dominios y configura de inmediato spf dkim y dmarc para una entrega de correo óptima.
Configurar correctamente spf dkim y dmarc ya no es un lujo hoy en día, sino una necesidad. Sin spf dkim y dmarc, tus correos se marcan con más frecuencia como spam o incluso se rechazan por completo. Asegúrate de que tus registros de spf dkim y dmarc estén siempre actualizados y compruébalos tras cada cambio en tu configuración DNS. Con un spf dkim y dmarc bien configurado no solo proteges tu propio dominio, sino que también contribuyes a un ecosistema de correo más seguro.
SPF DKIM DMARC: implementación práctica paso a paso
La teoría de spf dkim y dmarc es importante, pero lo que de verdad cuenta es la implementación práctica. Para SPF, empieza haciendo un inventario de todos los servidores y servicios que envían correo en nombre de tu dominio. Esto incluye tu propio servidor de correo, tu proveedor de hosting, las posibles herramientas de marketing como Mailchimp o ActiveCampaign y los servicios de correo transaccional como SendGrid o Amazon SES. Cada servidor remitente legítimo debe incluirse en tu registro SPF.
Un registro SPF es un registro TXT en la configuración DNS. Siempre empieza por v=spf1 y termina en -all (hard fail) o ~all (soft fail). Entre estos elementos especificas los servidores autorizados mediante direcciones IP o instrucciones include. Ten en cuenta el límite de 10 consultas DNS como máximo por registro SPF. Usa herramientas como MXToolbox para probar tu registro SPF y comprobar el número de consultas.
La configuración de DKIM es técnicamente más compleja, pero igual de importante. Tienes que generar un par de claves criptográficas: una clave privada en tu servidor de correo y una clave pública como registro TXT en tu DNS. La mayoría de los proveedores de hosting de correo ofrecen la configuración de DKIM a través de su panel de control.
Configurar y monitorizar la política DMARC
Tras configurar correctamente SPF y DKIM, es el momento de configurar DMARC. Empieza siempre con una política de monitorización (p=none) para ver qué correos pasan y cuáles no la autenticación, sin que se bloqueen mensajes legítimos. Define una dirección rua a la que se envíen los informes DMARC.
Analiza los informes DMARC durante un mínimo de dos a cuatro semanas. Busca fuentes legítimas que fallen en SPF o DKIM y añádelas a tu configuración. Solo cuando todas las fuentes legítimas estén correctamente autenticadas, endurece la política DMARC paso a paso hacia quarantine y, finalmente, hacia reject. Este proceso por fases evita que bloquees por error correos legítimos.
Los informes DMARC son archivos XML difíciles de leer a mano. Usa un servicio gratis como DMARC Analyzer o Postmark para mostrar los informes de forma visual. Combínalo con una configuración DNS bien hecha para lograr la máxima entrega de correo.
SPF DKIM DMARC: preguntas frecuentes respondidas
¿Tengo que configurar los tres protocolos? Sí, para una entrega óptima del correo necesitas los tres. SPF verifica el servidor remitente, DKIM garantiza la integridad del mensaje y DMARC indica a los servidores receptores qué hacer cuando falla una comprobación. Juntos forman una capa de seguridad completa.
¿Cuánto tardan en funcionar los cambios? Los cambios de DNS suelen propagarse en un plazo de 24-48 horas. Reduce el TTL a 300 segundos antes de hacer cambios para que se propaguen más rápido.
¿Y si mis correos siguen acabando en spam? Comprueba si tus correos llegan realmente y si todos los registros son correctos. Usa las cabeceras del correo para comprobar que se superan todas las comprobaciones de autenticación. Si la configuración técnica es correcta, el problema puede estar en el contenido de tus mensajes o en la reputación de tu dirección IP de envío. Construye tu reputación poco a poco enviando de forma constante buenos correos.
Probar la autenticación del correo con herramientas en línea
Después de configurar spf dkim y dmarc, es fundamental probar la configuración con herramientas en línea. Envía un correo de prueba a check-auth@verifier.port25.com para recibir un informe automático sobre el estado de tu SPF, DKIM y DMARC. Google también ofrece una herramienta útil mediante las cabeceras de Gmail: abre en Gmail un correo de prueba recibido, haz clic en los tres puntos y elige Mostrar original. Ahí verás si SPF y DKIM se superan o fallan.
Usa además dmarcian.com para la monitorización de DMARC gratis. Esta herramienta visualiza tus informes DMARC e identifica problemas. MXToolbox ofrece un completo conjunto de herramientas para probar registros DNS, comprobar listas negras y diagnosticar SMTP. Realiza estas pruebas cada mes para asegurarte de que tu configuración sigue funcionando correctamente, sobre todo tras cambios en tu infraestructura de correo o al añadir nuevos servicios de envío.
No olvides configurar también correctamente tu correo con tu propio dominio para ofrecer una imagen profesional y una entregabilidad óptima.
Por último, es importante documentar la configuración de autenticación de tu correo. Haz un resumen de todos los registros DNS con sus valores actuales, la fecha del último cambio y el motivo de la configuración. Guarda este documento en un lugar seguro y centralizado. Cuando en el futuro añadas nuevos servicios de correo o cambies de proveedor, tendrás al instante una referencia para actualizar correctamente la configuración. Una configuración de SPF/DKIM/DMARC bien documentada te ahorra horas de resolución de problemas y evita problemas de entrega del correo.
No olvides tampoco que la autenticación del correo es un proceso continuo, no una configuración puntual. Cada vez que añadas un nuevo servicio de correo, actives una herramienta de marketing o cambies de servidor de correo, tienes que actualizar tus registros SPF, DKIM y DMARC. Programa una revisión trimestral para comprobar tu autenticación de correo y asegurarte de que los tres protocolos siguen bien configurados.
