SPF, DKIM e DMARC en dez minutos

Podes escribir o mellor correo da túa vida e que ninguén o lea. Non porque o asunto sexa frouxo, senón porque o servidor que o recibe non sabe se de verdade o enviaches ti, e ante a dúbida mándao ao spam.

Para resolver esa dúbida existen tres rexistros que se publican no DNS do teu dominio: SPF, DKIM e DMARC. Desde 2024, Gmail e Yahoo pídenos a quen envía correo aos seus usuarios, e desde 2025 tamén Outlook. A boa noticia é que se configuran unha vez, nuns dez minutos, e non hai que volver tocalos. Neste artigo explicamos que fai cada un, como se configuran en Google Workspace e Microsoft 365 e como comprobar que funcionan.

O problema: calquera pode escribir o teu enderezo

O correo electrónico deseñouse nunha época na que ninguén pensaba en suplantacións. O protocolo deixa que calquera servidor envíe unha mensaxe que diga «De: uxia@tuaempresa.com», igual que calquera pode escribir o teu enderezo como remitente no dorso dun sobre.

SPF, DKIM e DMARC son a forma de demostrar que o sobre é teu. Cada un responde a unha pregunta distinta:

• SPF: este servidor ten permiso para enviar correo deste dominio?
• DKIM: a mensaxe leva a sinatura do dominio e non se modificou polo camiño?
• DMARC: se algo do anterior falla, que ten que facer quen recibe o correo? E a quen llo conta?

Un bo símil é unha carta certificada: SPF é a lista de oficinas de correos autorizadas a enviar no teu nome, DKIM é o selo de lacre e DMARC son as instrucións que deixas na oficina de destino sobre que facer cunha carta sen selo.

SPF: quen pode enviar no teu nome

SPF (Sender Policy Framework) é un rexistro de texto (TXT) no teu dominio coa lista de servidores que poden enviar correo no seu nome. Cando chega unha mensaxe, o servidor de destino mira desde onde vén e compárao con esa lista.

Un rexistro SPF ten este aspecto:

v=spf1 include:_spf.google.com ~all

• v=spf1 indica que é un rexistro SPF.
• include:_spf.google.com autoriza os servidores de Google Workspace. Con Microsoft 365 sería include:spf.protection.outlook.com.
• ~all di que calquera outro servidor «probablemente non» está autorizado (fallo suave). Con -all o fallo é estrito.

Tres erros habituais:

1. Ter dous rexistros SPF. Só pode haber un por dominio. Se usas Google Workspace e ademais unha ferramenta de facturación que envía correos, os dous include van no mesmo rexistro: v=spf1 include:_spf.google.com include:outroservizo.com ~all.
2. Pasarse de dez consultas. Cada include conta como unha consulta DNS, e algúns agochan outros dentro. A norma fixa un máximo de dez; por riba, a comprobación falla.
3. Esquecer un servizo. Se envías desde un servidor que non está na lista (a túa web, o teu CRM, unha ferramenta de prospección con SMTP propio), eses correos fallarán o SPF.

DKIM: a sinatura de cada correo

DKIM (DomainKeys Identified Mail) engade a cada correo unha sinatura dixital. O teu provedor asina a mensaxe cunha clave privada que só ten el, e ti publicas no DNS a clave pública para que calquera poida comprobar a sinatura. Se alguén cambia unha coma da mensaxe polo camiño, a sinatura deixa de cadrar.

A diferenza do SPF, a clave de DKIM non a inventas ti: xéraa o teu provedor de correo e ti só a copias no DNS.

• Google Workspace: na consola de administración, vai a Apps › Google Workspace › Gmail › Authenticate email, xera unha clave de 2048 bits e copia o rexistro TXT que che dá, co nome google._domainkey. Despois, volve á consola e preme Start authentication.
• Microsoft 365: no portal de Microsoft Defender, na configuración de DKIM do teu dominio, indícache dous rexistros CNAME (selector1._domainkey e selector2._domainkey). Créalos no teu DNS e activas a sinatura.

A parte antes de ._domainkey chámase selector. Serve para que un mesmo dominio poida ter varias claves, por exemplo unha para Google e outra para a túa ferramenta de facturación.

DMARC: que facer cando algo falla

SPF e DKIM comproban cousas, pero non din que facer se fallan. Iso dío DMARC (Domain-based Message Authentication, Reporting and Conformance), e engade unha condición importante: o aliñamento. Non abonda con que o correo pase SPF ou DKIM; o dominio que os pasa ten que ser o mesmo que aparece no «De:» que ve o destinatario.

O rexistro DMARC é outro TXT, co nome _dmarc no teu dominio:

v=DMARC1; p=none; rua=mailto:dmarc@tuaempresa.com

• p= é a política: none (non fagas nada, só infórmame), quarantine (mándao ao spam) ou reject (rexéitao).
• rua= é o enderezo ao que os grandes provedores che envían informes diarios con quen está a enviar correo en nome do teu dominio e se pasa as comprobacións.

Como avanzar sen romper nada:

1. Comeza con p=none e un enderezo rua. É o mínimo que piden Google, Yahoo e Microsoft.
2. Durante unhas semanas, mira os informes (hai servizos gratuítos que os converten en algo lexible). Busca servizos lexítimos que fallen: a web que envía formularios, a ferramenta de facturación, o boletín.
3. Cando todo o lexítimo pase, sobe a p=quarantine e, máis adiante, a p=reject. A partir de aí, quen intente suplantar o teu dominio terao moi difícil.

Que piden Gmail, Yahoo e Outlook

Desde febreiro de 2024, Google e Yahoo esixen a todos os remitentes SPF ou DKIM. A quen envía máis de 5.000 correos ao día a contas de Gmail pídenlle ademais SPF, DKIM e DMARC (con p=none é suficiente), aliñamento co dominio do «De:», baixa nun clic e unha taxa de queixas por spam por debaixo do 0,3 %. Desde maio de 2025, Outlook pide o mesmo aos remitentes de gran volume.

Se fas prospección desde a túa caixa de correo, probablemente non chegas a 5.000 ao día. Pero os filtros non só aplican as regras: tamén puntúan a confianza. Un dominio cos tres rexistros ben configurados parte con vantaxe fronte a un que non os ten, aínda que envíe pouco.

Como comprobar que funciona

A forma máis sinxela non require ferramentas:

1. Envíate un correo desde a túa caixa de correo a unha conta de Gmail.
2. Ábreo, preme os tres puntos e escolle Mostrar orixinal.
3. Arriba verás tres liñas: SPF: PASS, DKIM: PASS e DMARC: PASS. Se algunha di FAIL ou non aparece, xa sabes que revisar.

Ten en conta que os cambios no DNS poden tardar desde uns minutos ata unhas horas en propagarse. Se acabas de crear un rexistro e a comprobación falla, agarda un anaco antes de tocar nada máis.

A lista de dez minutos

• Un só rexistro SPF con todos os servizos que envían no teu nome.
• DKIM xerado no teu provedor (Google Workspace ou Microsoft 365), publicado no DNS e activado.
• Rexistro DMARC en _dmarc con p=none e un enderezo rua para os informes.
• Proba con «Mostrar orixinal» en Gmail: tres PASS.
• Nunhas semanas, revisar os informes e subir a quarantine.

Con isto, o correo que tanto che custou escribir ten polo menos a oportunidade de que alguén o lea.