SPF, DKIM y DMARC explicados de forma sencilla (y cómo comprobar los tuyos en cinco minutos)

Tres siglas aparecen en cuanto se habla de entregabilidad: SPF, DKIM, DMARC. Muchas veces se configuran una sola vez, copiando líneas de la ayuda del proveedor de hosting, y luego se olvidan. Hasta el día en que los correos empiezan a caer en spam y nadie recuerda muy bien qué se dejó configurado.

Y, sin embargo, estos tres mecanismos responden a una pregunta muy simple que se hace cada servidor que recibe tu correo: «¿este mensaje viene de verdad de quien dice venir?». Sin una respuesta clara, el mensaje se trata como sospechoso.

Por qué ahora es obligatorio

Durante mucho tiempo, estos registros eran muy recomendables. Ahora son obligatorios. En febrero de 2024, Gmail y Yahoo impusieron a los remitentes que envían muchos correos tener SPF y DKIM válidos, una política DMARC publicada, un enlace de baja en un clic y una tasa de quejas baja. Microsoft anunció requisitos comparables para Outlook.com, aplicados a partir de mayo de 2025.

Los umbrales oficiales se dirigen a los grandes remitentes, pero en la práctica un dominio sin una autenticación correcta ve sus mensajes filtrados mucho antes de alcanzar esos volúmenes. Para la prospección, conviene considerar los tres registros como el mínimo.

SPF: la lista de servidores autorizados

SPF (Sender Policy Framework) es una línea publicada en los DNS de tu dominio. Dice: «los correos de este dominio solo pueden salir de estos servidores». Cuando un servidor recibe un mensaje firmado de tu dominio, comprueba que el servidor de envío figure en la lista.

Un registro SPF se parece a esto:

v=spf1 include:_spf.mail.hostinger.com ~all

Léelo de izquierda a derecha: la versión, después los servidores autorizados (aquí los del proveedor de hosting) y por último qué hacer con los demás. El «~all» final pide tratar a los otros servidores con recelo sin rechazarlos, lo que es una opción prudente.

Los errores más habituales:

• dos registros SPF en el mismo dominio: está prohibido y el resultado queda inválido. Hay que fusionar los dos en una sola línea;
• un servicio olvidado: también envías facturas desde un software de terceros, pero no está en la lista;
• demasiados «include»: SPF limita a diez el número de búsquedas DNS. Por encima de esa cifra, el registro falla.

DKIM: la firma del mensaje

DKIM (DomainKeys Identified Mail) añade a cada correo una firma cifrada. El servidor de envío firma con una clave privada y la clave pública correspondiente se publica en tus DNS. El destinatario verifica la firma: si es válida, sabe que el mensaje viene realmente de tu dominio y que no se ha modificado por el camino.

La clave pública se encuentra en una dirección DNS concreta, construida con un «selector» elegido por tu proveedor de hosting, por ejemplo:

hostingermail1._domainkey.tudominio.es

Ahí es donde se esconden la mayoría de los problemas de DKIM: una clave copiada de forma incompleta (son largas), un selector distinto del que usa realmente el servidor o una clave que nunca se publicó porque el proveedor esperaba una activación manual. La única comprobación fiable consiste en enviar un correo real y revisar su cabecera al recibirlo.

DMARC: la instrucción en caso de fallo

DMARC (Domain-based Message Authentication, Reporting and Conformance) conecta los dos anteriores. Pide al servidor que recibe: «si un mensaje dice venir de mi dominio pero falla en SPF y en DKIM, esto es lo que debes hacer con él». También permite recibir informes sobre los mensajes enviados en tu nombre.

Un registro DMARC inicial se parece a esto:

v=DMARC1; p=none; rua=mailto:dmarc@tudominio.es

«p=none» significa: no bloquear nada, pero enviar informes. Es la política mínima exigida por Gmail y Yahoo, y un buen punto de partida. Cuando tengas la seguridad de que todos tus envíos legítimos superan la autenticación, puedes pasar a «p=quarantine» (mandar a spam los mensajes no autenticados) y después, si quieres, a «p=reject».

Un detalle sutil: DMARC exige que el dominio autenticado por SPF o DKIM sea el mismo que aparece en la dirección de envío. Es lo que se llama alineación. Un correo enviado desde paul@tudominio.es pero firmado con DKIM por el dominio técnico de tu proveedor de hosting puede superar DKIM y, aun así, fallar en DMARC.

Comprueba tus registros en cinco minutos

No hace falta ser administrador de sistemas. Bastan tres comprobaciones:

1. Consulta los registros TXT de tu dominio con una herramienta de búsqueda DNS en línea. Debes encontrar una sola línea que empiece por «v=spf1» y una línea «v=DMARC1» en la dirección _dmarc.tudominio.es.
2. Envía un correo desde el buzón en cuestión a una dirección personal de Gmail, ábrelo y muestra el mensaje original. Gmail indica claramente «SPF: PASS», «DKIM: PASS» y «DMARC: PASS», con el dominio utilizado para cada uno.
3. Comprueba que el dominio indicado para DKIM es el tuyo, no el del proveedor de hosting.

En SmartOutbound, esta comprobación se hace automáticamente: cada dominio se verifica a diario, un correo de prueba enviado al conectar un buzón confirma la firma DKIM realmente observada al recibirlo, y el botón «Verificar los DNS» de la página de los buzones relanza la comprobación cuando quieras. Si falta DMARC y tu dominio está en Hostinger, la herramienta incluso puede añadirlo por ti.

¿Y el resto?

Estos tres registros no garantizan que tus correos lleguen a la bandeja de entrada. Solo garantizan que no se rechacen por un motivo técnico evitable. Lo demás depende de la reputación de tu dominio, de la calidad de tus listas y del contenido de tus mensajes. Con los dominios nuevos también hay que contar con el tiempo de warmup. Y si dudas entre prospectar desde tu dominio principal o no, nuestro artículo sobre el dominio dedicado te ayudará a decidirte.