SPF, DKIM i DMARC en deu minuts

Pots escriure el millor correu de la teva vida i que ningú no el llegeixi. No perquè l'assumpte sigui fluix, sinó perquè el servidor que el rep no sap si de debò l'has enviat tu, i davant el dubte l'envia al correu brossa.

Per resoldre aquest dubte hi ha tres registres que es publiquen al DNS del teu domini: SPF, DKIM i DMARC. Des del 2024, Gmail i Yahoo els demanen a qui envia correu als seus usuaris, i des del 2025 Outlook també. La bona notícia és que es configuren una vegada, en uns deu minuts, i no cal tornar-los a tocar. En aquest article expliquem què fa cadascun, com es configuren a Google Workspace i Microsoft 365 i com comprovar que funcionen.

El problema: qualsevol pot escriure la teva adreça

El correu electrònic es va dissenyar en una època en què ningú no pensava en suplantacions. El protocol deixa que qualsevol servidor enviï un missatge que digui «De: marta@lateuaempresa.com», igual que qualsevol pot escriure la teva adreça com a remitent al dors d'un sobre.

SPF, DKIM i DMARC són la manera de demostrar que el sobre és teu. Cadascun respon a una pregunta diferent:

• SPF: aquest servidor té permís per enviar correu d'aquest domini?
• DKIM: el missatge porta la signatura del domini i no s'ha modificat pel camí?
• DMARC: si alguna cosa de les anteriors falla, què ha de fer qui rep el correu? I a qui li ho explica?

Un bon símil és una carta certificada: l'SPF és la llista d'oficines de correus autoritzades a enviar en nom teu, el DKIM és el segell de lacre i el DMARC són les instruccions que deixes a l'oficina de destinació sobre què fer amb una carta sense segell.

SPF: qui pot enviar en nom teu

L'SPF (Sender Policy Framework) és un registre de text (TXT) al teu domini amb la llista de servidors que poden enviar correu en nom seu. Quan arriba un missatge, el servidor de destinació mira d'on ve i el compara amb aquesta llista.

Un registre SPF té aquest aspecte:

v=spf1 include:_spf.google.com ~all

• v=spf1 indica que és un registre SPF.
• include:_spf.google.com autoritza els servidors de Google Workspace. Amb Microsoft 365 seria include:spf.protection.outlook.com.
• ~all diu que qualsevol altre servidor «probablement no» està autoritzat (fallada suau). Amb -all la fallada és estricta.

Tres errors habituals:

1. Tenir dos registres SPF. Només n'hi pot haver un per domini. Si fas servir Google Workspace i, a més, una eina de facturació que envia correus, els dos include van en el mateix registre: v=spf1 include:_spf.google.com include:altreservei.com ~all.
2. Passar de deu consultes. Cada include compta com una consulta DNS, i alguns n'amaguen d'altres a dins. La norma fixa un màxim de deu; per sobre, la comprovació falla.
3. Oblidar un servei. Si envies des d'un servidor que no és a la llista (el teu web, el teu CRM, una eina de prospecció amb SMTP propi), aquests correus fallaran l'SPF.

DKIM: la signatura de cada correu

El DKIM (DomainKeys Identified Mail) afegeix a cada correu una signatura digital. El teu proveïdor signa el missatge amb una clau privada que només té ell, i tu publiques al DNS la clau pública perquè qualsevol pugui comprovar la signatura. Si algú canvia una coma del missatge pel camí, la signatura deixa de quadrar.

A diferència de l'SPF, la clau de DKIM no te l'inventes: la genera el teu proveïdor de correu i tu només la copies al DNS.

• Google Workspace: a la consola d'administració, ves a Apps › Google Workspace › Gmail › Authenticate email, genera una clau de 2048 bits i copia el registre TXT que et dona, amb el nom google._domainkey. Després, torna a la consola i fes clic a Start authentication.
• Microsoft 365: al portal de Microsoft Defender, a la configuració de DKIM del teu domini, t'indica dos registres CNAME (selector1._domainkey i selector2._domainkey). Els crees al teu DNS i actives la signatura.

La part abans de ._domainkey s'anomena selector. Serveix perquè un mateix domini pugui tenir diverses claus, per exemple una per a Google i una altra per a la teva eina de facturació.

DMARC: què fer quan alguna cosa falla

L'SPF i el DKIM comproven coses, però no diuen què fer si fallen. Això ho diu el DMARC (Domain-based Message Authentication, Reporting and Conformance), que hi afegeix una condició important: l'alineació. No n'hi ha prou que el correu passi l'SPF o el DKIM; el domini que els passa ha de ser el mateix que apareix al «De:» que veu el destinatari.

El registre DMARC és un altre TXT, amb el nom _dmarc al teu domini:

v=DMARC1; p=none; rua=mailto:dmarc@lateuaempresa.com

• p= és la política: none (no facis res, només informa'm), quarantine (envia'l al correu brossa) o reject (rebutja'l).
• rua= és l'adreça a la qual els grans proveïdors t'envien informes diaris amb qui està enviant correu en nom del teu domini i si passa les comprovacions.

Com avançar sense trencar res:

1. Comença amb p=none i una adreça rua. És el mínim que demanen Google, Yahoo i Microsoft.
2. Durant unes setmanes, mira els informes (hi ha serveis gratuïts que els converteixen en una cosa llegible). Busca serveis legítims que fallin: el web que envia formularis, l'eina de facturació, el butlletí.
3. Quan tot el que és legítim passi, puja a p=quarantine i, més endavant, a p=reject. A partir d'aquí, qui intenti suplantar el teu domini ho tindrà molt difícil.

Què demanen Gmail, Yahoo i Outlook

Des del febrer del 2024, Google i Yahoo exigeixen a tots els remitents SPF o DKIM. A qui envia més de 5.000 correus al dia a comptes de Gmail li demanen, a més, SPF, DKIM i DMARC (amb p=none n'hi ha prou), alineació amb el domini del «De:», baixa amb un clic i una taxa de queixes per correu brossa per sota del 0,3 %. Des del maig del 2025, Outlook demana el mateix als remitents de gran volum.

Si fas prospecció des de la teva bústia, probablement no arribes a 5.000 al dia. Però els filtres no només apliquen les regles: també puntuen la confiança. Un domini amb els tres registres ben configurats parteix amb avantatge davant d'un que no els té, encara que enviï poc.

Com comprovar que funciona

La manera més senzilla no requereix eines:

1. Envia't un correu des de la teva bústia a un compte de Gmail.
2. Obre'l, fes clic als tres punts i tria Mostra l'original.
3. A dalt veuràs tres línies: SPF: PASS, DKIM: PASS i DMARC: PASS. Si alguna diu FAIL o no hi apareix, ja saps què has de revisar.

Tingues en compte que els canvis al DNS poden trigar des d'uns minuts fins a unes hores a propagar-se. Si acabes de crear un registre i la comprovació falla, espera una estona abans de tocar res més.

La llista de deu minuts

• Un sol registre SPF amb tots els serveis que envien en nom teu.
• DKIM generat al teu proveïdor (Google Workspace o Microsoft 365), publicat al DNS i activat.
• Registre DMARC a _dmarc amb p=none i una adreça rua per als informes.
• Prova amb «Mostra l'original» a Gmail: tres PASS.
• D'aquí a unes setmanes, revisar els informes i pujar a quarantine.

Amb això, el correu que tant t'ha costat escriure té, com a mínim, l'oportunitat que algú el llegeixi.