SPF, DKIM y DMARC.
Tres líneas en el DNS de tu dominio que le dicen a Gmail y a Outlook quién puede enviar en tu nombre. Sin ellas, tu correo y el de quien te suplanta son indistinguibles.
SPF, DKIM y DMARC son los tres registros DNS que autentican el correo de un dominio: SPF enumera los servidores autorizados a enviar, DKIM firma cada mensaje y DMARC exige que uno de los dos pase con el dominio visible en el remitente y dice qué hacer con lo que falle.
También: autenticación de email · registros dns de correo
Agencia Snowball, Barcelona · Revisado el
Tres registros que contestan una pregunta: ¿esto lo has mandado tú?
Cualquiera puede poner tu dominio en el remitente de un correo. El protocolo lo permite desde siempre, y por eso existe el phishing. SPF, DKIM y DMARC son tres registros que publicas en el DNS de tu dominio para que Gmail, Outlook y el resto puedan comprobar que un correo que dice venir de ti viene de verdad de ti.
Cada uno contesta una cosa distinta. SPF es la lista de servidores autorizados a enviar en nombre de tu dominio. DKIM es una firma: tu servidor firma cada mensaje con una clave privada y el receptor la comprueba con la clave pública que tienes en el DNS; si alguien toca el mensaje por el camino, la firma se rompe. DMARC es el que une los dos: comprueba que al menos uno de ellos pasa con tu dominio, el que ve el lector en el From, y le dice al receptor qué hacer si no.
Ese “con tu dominio” es el malentendido entero. SPF y DKIM pueden pasar perfectamente y DMARC fallar, porque pasan para otro dominio: el de la herramienta que envía por ti. Se llama alineación, y es donde se rompe la mayoría de montajes de email marketing. Mira los dos últimos remitentes: a ojos de DMARC, tu propia herramienta mal configurada y alguien que te suplanta son exactamente lo mismo.
Envía por ti, con tu dominio en el Return-Path y firmando con tu dominio.
Envía por ti, pero el Return-Path y la firma son de su dominio, no del tuyo.
Pone tu dominio en el From desde su servidor. Su SPF pasa, pero para su dominio.
Tres líneas en el DNS, y una lista de quién envía por ti.
Antes de tocar el DNS hay que hacer el inventario: cada herramienta que manda correo con tu dominio en el From. El correo corporativo, la plataforma de newsletter, el CRM, la de facturación, la de cold email, la tienda online. La que se olvida es la que acaba en spam.
SPF
Un registro TXT en tu dominio que empieza por v=spf1 y enumera quién puede enviar: un include por cada proveedor y, al final, qué hacer con el resto (~all para marcarlo como sospechoso, -all para rechazarlo). Uno solo por dominio: si hay dos, los dos dejan de valer.
DKIM
Lo genera cada herramienta. Te da un selector y una clave pública, y tú la publicas en selector._domainkey.tudominio. Una por proveedor, de 2048 bits si te deja elegir. Sin este paso, la herramienta firma con su dominio y no hay alineación.
DMARC
Un TXT en _dmarc.tudominio con la política (p=none, quarantine o reject) y una dirección rua donde los receptores te mandan cada día el informe de quién ha enviado con tu dominio y si pasó. Esos informes son lo único que te enseña lo que no sabías que estaba enviando.
El SPF tiene una trampa que no avisa. La norma permite como mucho 10 consultas DNS para resolverlo, y cada include gasta una más las que esconda dentro. Cada herramienta nueva suma, y el día que pasas de 10 el receptor no ignora la última línea: da el SPF entero por roto. Nadie te manda un aviso. Lo ves semanas después, cuando la tasa de apertura cae sin que hayas cambiado nada del contenido. La salida es quitar los includes de lo que ya no usas, o mover los envíos masivos a un subdominio con su propio SPF.
La política se sube cuando los informes están limpios, no antes.
DMARC tiene tres niveles y la tentación es ir directo al último. Los mismos tres remitentes de arriba, con cada política:
Con p=none no proteges nada: el suplantador entra igual. Pero no rompes nada, y recibes informes. Con p=reject el suplantador se queda fuera, y tu herramienta sin alinear también. Por eso el orden es siempre el mismo: none, leer informes hasta que todo lo tuyo salga alineado, quarantine, y reject cuando ya no aparezca nada legítimo fallando. Subir de golpe es la forma más rápida de dejar de recibir respuestas a las facturas sin saber por qué.
Desde febrero de 2024 esto dejó de ser opcional para quien manda en volumen. Gmail y Yahoo exigen SPF, DKIM y DMARC, alineados con el From y con baja en un clic, a quien manda más de 5.000 correos al día a sus usuarios; Outlook pide lo mismo desde mayo de 2025. Con p=none cumples el mínimo. Cumplirlo te deja competir por la bandeja; no te la da. La entregabilidad la decide después cómo se comporta la gente a la que escribes, y autenticado está también todo el spam bien montado del mundo.
Esto pesa en la prospección. Lo prudente es que el cold email no salga del dominio principal, sino de uno secundario con sus tres registros propios, para que si algo se quema no se queme el dominio con el que facturas. Nosotros mandamos cada campaña con su buzón, sin mezclar. Calentamiento antes de escalar. Texto plano, cabecera de baja y sin seguimiento de enlaces, porque la herramienta reescribe los enlaces con su dominio y eso juega en contra. Y solo a direcciones verificadas: un hard bounce en un buzón que has tardado semanas en calentar sale caro.
Cuatro formas de tenerlos puestos y que no sirvan.
Dar por buena la casilla verde
El panel de la herramienta dice “dominio verificado” y se da por hecho. Muchas veces verifica que el SPF existe, no que el DMARC pase alineado. La prueba es mandarte un correo a una cuenta de Gmail, abrir el original y leer las tres líneas: SPF, DKIM y DMARC, cada una con su PASS y el dominio con el que pasó.
Poner p=reject el primer día
Sin inventario y sin haber leído un solo informe. La herramienta de facturación o el formulario de la web que nadie recordaba empieza a rebotar, y como el rechazo se nota tarde, se descubre cuando un cliente dice que no le llegó nada.
Dejar el p=none para siempre
Es el paso de observar, no el destino. Un DMARC en none con la dirección de informes apuntando a un buzón que no lee nadie es un registro decorativo: cumple el requisito y deja la puerta abierta a cualquiera que quiera usar tu nombre.
Arreglar con DNS lo que es una lista
Si los correos van a spam con los tres registros en verde, el problema no está en el DNS. Está en a quién escribes: direcciones que rebotan, gente que no te pidió nada, una lista sin limpiar en años. Tocar registros otra vez no mueve la reputación; mandar menos y mejor, sí.
Lo que se pregunta sobre spf, dkim y dmarc.
¿Qué diferencia hay entre SPF, DKIM y DMARC?
SPF dice qué servidores pueden enviar con tu dominio. DKIM firma cada mensaje para que el receptor sepa que no se ha tocado por el camino. DMARC comprueba que al menos uno de los dos pasa con el mismo dominio que ve el lector en el remitente, y le dice al receptor qué hacer si no: nada, mandarlo a spam o rechazarlo.
¿Por qué falla DMARC si SPF y DKIM pasan?
Porque pasan para otro dominio. Si tu herramienta de envío usa su propio dominio en el Return-Path y firma con el suyo, SPF y DKIM salen bien, pero no están alineados con tu From. Se arregla configurando en la herramienta un dominio de envío propio y publicando su clave DKIM en tu DNS.
¿Es obligatorio tener DMARC?
Para quien manda más de 5.000 correos al día a Gmail o Yahoo, sí desde febrero de 2024, y en Outlook desde mayo de 2025: SPF, DKIM y DMARC, al menos con p=none, alineados con el remitente. Por debajo de ese volumen no es obligatorio, pero sin él cualquiera puede usar tu dominio y tú no te enteras.
¿Con SPF, DKIM y DMARC bien puestos dejo de ir a spam?
No necesariamente. Los tres te dan el derecho a que te evalúen; lo que decide la bandeja es tu reputación: rebotes, quejas y si la gente abre y responde. Si tienes los tres en verde y sigues en spam, el problema está en la lista y en la frecuencia, no en el DNS.
Los que hacen falta para usar este.
El canal que ya es tuyo: a quién le escribes, cuándo y si llega.
Que el correo llegue a la bandeja y no a spam. No depende del contenido tanto como de a quién le escribes y de cuánta gente te ignora.
El único canal donde la audiencia es tuya y no la alquilas a una plataforma. Su valor no está en enviar más, sino en a quién y cuándo.
Escribir a alguien que no te ha pedido nada. Funciona cuando el correo demuestra que has mirado su negocio antes de escribir.
Rechazo permanente: esa dirección no existe. Se borra el mismo día, porque insistir es lo que hunde la reputación del dominio.
Emails que salen solos cuando alguien hace algo, no cuando alguien se acuerda. Se monta una vez y trabaja todos los días.
La secuencia que recibe quien acaba de suscribirse, en el único momento en que te presta toda la atención. Se monta una vez y decide si esa dirección sirve para algo.
