SPF, DKIM y DMARC explicados para no técnicos
Si sus correos llegan a spam, si alguien manda correos falsos con el nombre de su empresa o si Gmail le avisa que "no pudo verificar" su dominio, el problema casi siempre está en tres registros del DNS: SPF, DKIM y DMARC. Le explicamos qué hace cada uno, cómo se configuran, qué exigen hoy Gmail, Yahoo y Outlook, y cómo llegar a la protección completa sin cortar su propio correo.
¿Prefiere que lo revisemos nosotros? Diagnóstico gratis, sin claves.
¿Consulta urgente? Escríbanos por WhatsApp al 095 283 123
Por qué existen SPF, DKIM y DMARC
El correo electrónico se diseñó sin verificar quién manda cada mensaje: cualquier servidor puede decir que un correo es de facturacion@suempresa.com. Eso permite la suplantación de identidad y gran parte del phishing.
SPF, DKIM y DMARC son tres registros que el dueño de un dominio publica en su DNS para que los servidores que reciben correos puedan comprobar si un mensaje que dice ser suyo realmente lo es.
Qué hace cada uno, en una línea
| Registro | Qué responde | Analogía |
|---|---|---|
| SPF | ¿Este servidor está autorizado a mandar correo con este dominio? | La lista de personas autorizadas a retirar un paquete |
| DKIM | ¿Este correo lo firmó el dominio y no se modificó en el camino? | El sello lacrado en un sobre |
| DMARC | ¿Qué hago si el correo no pasa SPF ni DKIM, y a quién le aviso? | La instrucción al portero: «si no está en la lista, no lo deje pasar y avíseme» |
¿Quiere saber qué tiene abierto su sitio?
Lo revisamos desde afuera, sin claves y sin instalar nada. Si no encontramos nada relevante, se lo decimos igual.
SPF: la lista de servidores autorizados
Un registro SPF es un texto en el DNS que lista quién puede mandar correo con su dominio. Por ejemplo, para una empresa que usa Google Workspace y además manda correos desde su sitio con otro servicio:
v=spf1 include:_spf.google.com include:servicio-de-envio.com ~all
include:Suma los servidores de cada servicio que manda en su nombre.
~allo-allIndica qué hacer con el resto: marcarlo como sospechoso o rechazarlo.
Errores comunes: tener dos registros SPF (solo vale uno; hay que unificarlos) y superar el límite de 10 consultas de DNS que permite SPF, algo que pasa cuando se acumulan muchos include.
DKIM: la firma de cada correo
DKIM agrega a cada correo una firma digital, hecha con una clave privada que solo tiene su proveedor de correo. La clave pública se publica en el DNS, y el que recibe el correo verifica la firma con ella.
Se activa en cada servicio que manda correo
Google Workspace, Microsoft 365, la herramienta de newsletters, el sistema de facturación. Cada uno le da un registro para publicar.
Use claves de 2048 bits
Cuando el proveedor lo permita.
Si un servicio no firma con su dominio
Firma con el suyo propio, y eso después falla en DMARC aunque DKIM diga «pass».
DMARC: la regla que lo une todo
DMARC le dice al mundo qué hacer con los correos que dicen ser de su dominio y no pasan los controles. Un registro DMARC se publica en _dmarc.suempresa.com y se ve así:
v=DMARC1; p=quarantine; rua=mailto:dmarc@suempresa.com
p=noneSolo observar, no hacer nada. Sirve para empezar.
p=quarantineMandar a spam lo que no pase.
p=rejectRechazar lo que no pase. Es la protección completa contra la suplantación.
rua=La dirección que recibe los reportes diarios de quién está mandando correos con su dominio.
Un detalle importante: DMARC exige alineación. No alcanza con que SPF o DKIM pasen: el dominio que pasa tiene que ser el mismo que el remitente que ve el usuario.
Qué exigen Gmail, Yahoo y Outlook
Gmail y Yahoo (desde febrero de 2024)
A quien manda más de 5.000 correos por día a sus usuarios le exigen SPF, DKIM y un registro DMARC (como mínimo
p=none), además de baja en un clic en los correos comerciales. A todos los remitentes les piden al menos SPF o DKIM.Outlook.com y Hotmail (desde mayo de 2025)
Requisitos similares para los grandes remitentes: SPF y DKIM válidos y DMARC publicado con alineación. Los correos que no cumplen pasan a la carpeta de no deseados.
Aunque su empresa no mande 5.000 correos por día, cada vez más servidores penalizan a los dominios sin estos registros. Es la causa más común de que los presupuestos y facturas terminen en spam.
Cómo llegar a DMARC en modo de rechazo sin cortar su correo
- 01
Haga el inventario de todo lo que manda correo en su nombre
Las casillas (Google o Microsoft), el sitio web, el sistema de facturación, la herramienta de newsletters, el CRM, la plataforma de la tienda. Es el paso que casi siempre falta y la razón por la que DMARC «rompe» cosas.
- 02
Configure SPF y DKIM para cada uno
Un solo registro SPF con todos los servicios, y DKIM activado en cada uno, firmando con su dominio.
- 03
Publique DMARC en modo observación
p=nonecon unruapara recibir reportes. Durante dos a cuatro semanas, los reportes muestran qué servicios mandan en su nombre y cuáles fallan. - 04
Corrija lo que falla
Servicios olvidados, firmas que no se alinean, reenvíos.
- 05
Suba a cuarentena y después a rechazo
Primero
p=quarantine(puede empezar aplicándolo a un porcentaje de los correos) y, cuando todo lo legítimo pasa,p=reject. - 06
Siga mirando los reportes
Cada vez que suma un servicio nuevo que manda correo, hay que agregarlo. Si no, sus propios correos empiezan a rechazarse.
Cómo revisar cómo está su dominio hoy
Abra un correo suyo en Gmail
→ menú de los tres puntos → «Mostrar original». Arriba dice si pasó SPF, DKIM y DMARC.
Consulte el DNS
Con herramientas en línea que muestran los registros TXT de
suempresa.comy de_dmarc.suempresa.com.Mire los reportes DMARC
Si ya los recibe: muestran quién manda correos con su dominio, incluidos los que no son suyos.
Errores comunes
Dos registros SPF en el mismo dominio
Invalida los dos.
Pasar a
p=rejectsin inventarioLas facturas o los correos del sitio dejan de llegar y nadie se da cuenta hasta que un cliente se queja.
El sitio web manda correo con la función de PHP del servidor
Sale sin firma ni alineación. Hay que mandarlo por un servicio autenticado (SMTP de su proveedor de correo).
Quedarse en
p=nonepara siempreObserva, pero no protege: su dominio se sigue pudiendo suplantar.
Reportes que llegan a una casilla que nadie lee
Si prefiere no hacerlo usted, nuestro servicio de seguridad del correo corporativo hace el inventario, configura los tres registros por etapas y gestiona las listas negras si su dominio ya está en alguna. Y para que su equipo reconozca los correos falsos que igual llegan: cómo detectar un correo de phishing.
Servicios relacionados
Preguntas frecuentes
¿Qué es DMARC en palabras simples?
Es una regla que publica en su dominio para decirle a los servidores de correo qué hacer con los mensajes que dicen ser suyos y no pasan la verificación: dejarlos pasar, mandarlos a spam o rechazarlos.
¿Necesito los tres?
Sí. SPF y DKIM verifican; DMARC decide qué hacer y le informa. Sin DMARC, los otros dos no impiden la suplantación.
¿Configurar DMARC puede cortar mi correo?
En modo p=none no afecta nada. El riesgo está en pasar a cuarentena o rechazo sin haber autorizado todos los servicios que mandan en su nombre.
¿Por qué mis correos llegan a spam si tengo SPF?
Puede faltar DKIM, DMARC o la alineación entre ellos, o su dominio o la IP del servidor pueden estar en una lista negra.
¿Cuánto tarda en hacer efecto?
Los registros se propagan en horas. La reputación de un dominio que estuvo en listas negras tarda días o semanas en recuperarse.
Más sobre phishing y correo
Qué es el phishing y cómo protege una empresa a su equipo
El phishing es un engaño: un mensaje que se hace pasar por alguien de confianza (un banco, un proveedor, el propio jefe)…
LeerFraude del CEO: la estafa por correo a la administración
"¿Estás en la oficina? Necesito que hagas una transferencia hoy, es confidencial. Después te explico." Un correo así, que parece del dueño…
LeerTipos de phishing: smishing, vishing, spear phishing y más
El phishing empezó como un correo masivo mal escrito que imitaba a un banco. Hoy llega por SMS, WhatsApp, llamadas, códigos QR…
Leer¿Su dominio tiene SPF, DKIM y DMARC bien configurados?
Lo revisamos desde afuera, sin claves, y le decimos qué falta y cómo llegar al modo de rechazo sin cortar su correo.
¿Consulta urgente? WhatsApp 095 283 123