SPF, DKIM y DMARC en diez minutos

Puedes escribir el mejor correo de tu vida y que nadie lo lea. No porque el asunto sea flojo, sino porque el servidor que lo recibe no sabe si de verdad lo has enviado tú, y ante la duda lo manda al spam.

Para resolver esa duda existen tres registros que se publican en el DNS de tu dominio: SPF, DKIM y DMARC. Desde 2024, Gmail y Yahoo los piden a quien envía correo a sus usuarios, y desde 2025 Outlook también. La buena noticia es que se configuran una vez, en unos diez minutos, y no hay que volver a tocarlos. En este artículo explicamos qué hace cada uno, cómo se configuran en Google Workspace y Microsoft 365 y cómo comprobar que funcionan.

El problema: cualquiera puede escribir tu dirección

El correo electrónico se diseñó en una época en la que nadie pensaba en suplantaciones. El protocolo deja que cualquier servidor envíe un mensaje que diga «De: maria@tuempresa.com», igual que cualquiera puede escribir tu dirección como remitente en el dorso de un sobre.

SPF, DKIM y DMARC son la forma de demostrar que el sobre es tuyo. Cada uno responde a una pregunta distinta:

• SPF: ¿este servidor tiene permiso para enviar correo de este dominio?
• DKIM: ¿el mensaje lleva la firma del dominio y no se ha modificado por el camino?
• DMARC: si algo de lo anterior falla, ¿qué tiene que hacer quien recibe el correo? ¿Y a quién se lo cuenta?

Un buen símil es una carta certificada: SPF es la lista de oficinas de correos autorizadas a enviar en tu nombre, DKIM es el sello de lacre y DMARC son las instrucciones que dejas en la oficina de destino sobre qué hacer con una carta sin sello.

SPF: quién puede enviar en tu nombre

SPF (Sender Policy Framework) es un registro de texto (TXT) en tu dominio con la lista de servidores que pueden enviar correo en su nombre. Cuando llega un mensaje, el servidor de destino mira desde dónde viene y lo compara con esa lista.

Un registro SPF tiene este aspecto:

v=spf1 include:_spf.google.com ~all

• v=spf1 indica que es un registro SPF.
• include:_spf.google.com autoriza a los servidores de Google Workspace. Con Microsoft 365 sería include:spf.protection.outlook.com.
• ~all dice que cualquier otro servidor «probablemente no» está autorizado (fallo suave). Con -all el fallo es estricto.

Tres errores habituales:

1. Tener dos registros SPF. Solo puede haber uno por dominio. Si usas Google Workspace y además una herramienta de facturación que envía correos, los dos include van en el mismo registro: v=spf1 include:_spf.google.com include:otroservicio.com ~all.
2. Pasarse de diez consultas. Cada include cuenta como una consulta DNS, y algunos esconden otros dentro. La norma fija un máximo de diez; por encima, la comprobación falla.
3. Olvidar un servicio. Si envías desde un servidor que no está en la lista (tu web, tu CRM, una herramienta de prospección con SMTP propio), esos correos fallarán el SPF.

DKIM: la firma de cada correo

DKIM (DomainKeys Identified Mail) añade a cada correo una firma digital. Tu proveedor firma el mensaje con una clave privada que solo él tiene, y tú publicas en el DNS la clave pública para que cualquiera pueda comprobar la firma. Si alguien cambia una coma del mensaje por el camino, la firma deja de cuadrar.

A diferencia del SPF, la clave de DKIM no te la inventas: la genera tu proveedor de correo y tú solo la copias en el DNS.

• Google Workspace: en la consola de administración, ve a Aplicaciones › Google Workspace › Gmail › Autenticar correo electrónico, genera una clave de 2048 bits y copia el registro TXT que te da, con el nombre google._domainkey. Después, vuelve a la consola y pulsa Iniciar autenticación.
• Microsoft 365: en el portal de Microsoft Defender, en la configuración de DKIM de tu dominio, te indica dos registros CNAME (selector1._domainkey y selector2._domainkey). Los creas en tu DNS y activas la firma.

La parte antes de ._domainkey se llama selector. Sirve para que un mismo dominio pueda tener varias claves, por ejemplo una para Google y otra para tu herramienta de facturación.

DMARC: qué hacer cuando algo falla

SPF y DKIM comprueban cosas, pero no dicen qué hacer si fallan. Eso lo dice DMARC (Domain-based Message Authentication, Reporting and Conformance), y añade una condición importante: la alineación. No basta con que el correo pase SPF o DKIM; el dominio que los pasa tiene que ser el mismo que aparece en el «De:» que ve el destinatario.

El registro DMARC es otro TXT, con el nombre _dmarc en tu dominio:

v=DMARC1; p=none; rua=mailto:dmarc@tuempresa.com

• p= es la política: none (no hagas nada, solo infórmame), quarantine (mándalo al spam) o reject (recházalo).
• rua= es la dirección a la que los grandes proveedores te envían informes diarios con quién está enviando correo en nombre de tu dominio y si pasa las comprobaciones.

Cómo avanzar sin romper nada:

1. Empieza con p=none y una dirección rua. Es lo mínimo que piden Google, Yahoo y Microsoft.
2. Durante unas semanas, mira los informes (hay servicios gratuitos que los convierten en algo legible). Busca servicios legítimos que fallen: la web que envía formularios, la herramienta de facturación, el boletín.
3. Cuando todo lo legítimo pase, sube a p=quarantine y, más adelante, a p=reject. A partir de ahí, quien intente suplantar tu dominio lo tendrá muy difícil.

Qué piden Gmail, Yahoo y Outlook

Desde febrero de 2024, Google y Yahoo exigen a todos los remitentes SPF o DKIM. A quien envía más de 5.000 correos al día a cuentas de Gmail le piden además SPF, DKIM y DMARC (con p=none es suficiente), alineación con el dominio del «De:», baja en un clic y una tasa de quejas por spam por debajo del 0,3 %. Desde mayo de 2025, Outlook pide lo mismo a los remitentes de gran volumen.

Si haces prospección desde tu buzón, probablemente no llegas a 5.000 al día. Pero los filtros no solo aplican las reglas: también puntúan la confianza. Un dominio con los tres registros bien configurados parte con ventaja frente a uno que no los tiene, aunque envíe poco.

Cómo comprobar que funciona

La forma más sencilla no requiere herramientas:

1. Envíate un correo desde tu buzón a una cuenta de Gmail.
2. Ábrelo, pulsa los tres puntos y elige Mostrar original.
3. Arriba verás tres líneas: SPF: PASS, DKIM: PASS y DMARC: PASS. Si alguna dice FAIL o no aparece, ya sabes qué revisar.

Ten en cuenta que los cambios en el DNS pueden tardar desde unos minutos hasta unas horas en propagarse. Si acabas de crear un registro y la comprobación falla, espera un rato antes de tocar nada más.

La lista de diez minutos

• Un solo registro SPF con todos los servicios que envían en tu nombre.
• DKIM generado en tu proveedor (Google Workspace o Microsoft 365), publicado en el DNS y activado.
• Registro DMARC en _dmarc con p=none y una dirección rua para los informes.
• Prueba con «Mostrar original» en Gmail: tres PASS.
• En unas semanas, revisar los informes y subir a quarantine.

Con esto, el correo que tanto te ha costado escribir tiene al menos la oportunidad de que alguien lo lea.