SPF, DKIM y DMARC son tres registros DNS que deciden dos cosas: si el correo que envías llega a la bandeja de entrada y si otra persona puede enviar correos que parezcan tuyos. Gmail, Yahoo y Outlook.com ya exigen los tres a cualquiera que envíe de forma masiva, y para el resto, los mensajes sin ellos tienen más probabilidades de acabar en spam.
Los registros son cortos, pero es fácil equivocarse en algún detalle, y dejan de funcionar sin previo aviso cuando una nueva herramienta empieza a enviar por ti. Esta guía explica qué hace cada uno, cómo configurarlos en el orden correcto y cómo mantenerlos funcionando.
Cómo encajan entre sí
Todo correo tiene dos direcciones de remitente: el remitente del sobre, que los servidores de correo usan para devolver los rebotes, y la dirección From que ve el destinatario. El fraude se aprovecha de la diferencia entre ambas: cualquiera puede poner la dirección From que quiera. Los tres registros cierran esa brecha.
SPF (Sender Policy Framework) enumera los servidores autorizados a enviar correo en nombre de tu dominio.
DKIM (DomainKeys Identified Mail) añade una firma criptográfica a cada mensaje, que los receptores verifican con una clave pública publicada en tu DNS.
DMARC (Domain-based Message Authentication, Reporting and Conformance) los vincula a la dirección From visible e indica a los receptores qué hacer con el correo que no pasa la verificación.
SPF: quién puede enviar
Un registro SPF es un registro TXT de tu dominio. Enumera los servicios y servidores que envían correo por ti y termina indicando qué hacer con todo lo demás:
example.com. TXT «v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.25 ~all»
include: añade el registro SPF de otro dominio; es la forma habitual de autorizar un servicio de correo.
ip4: e ip6: autorizan direcciones concretas, como tu propio servidor de correo.
~all (fallo leve) o -all (fallo) indica qué pasa con todos los que no aparecen en la lista. No uses nunca +all, que autoriza a todo internet.
Dos reglas pillan desprevenidos a la mayoría de los dominios:
Un solo registro. Un dominio debe tener exactamente un registro SPF. Con dos, los receptores devuelven un error permanente y SPF falla en todos los mensajes. Cuando un servicio nuevo te pida que «añadas este registro SPF», añade su include al registro que ya tienes.
Como máximo 10 consultas DNS. Cada include, a, mx y redirect cuesta una consulta, y los includes dentro de otros includes también cuentan. Por encima de 10, SPF falla. Un registro con Google Workspace, una herramienta de newsletters, un CRM y un helpdesk puede superar el límite sin que nadie se dé cuenta.
SPF tiene un punto débil: comprueba el remitente del sobre, no la dirección From que ve el destinatario, y falla cuando el correo se reenvía. Por eso no basta por sí solo.
DKIM: una firma en cada mensaje
Con DKIM, tu servicio de correo firma cada mensaje con una clave privada. La clave pública está en el DNS, bajo un nombre llamado selector:
google._domainkey.example.com. TXT «v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC…»
El receptor lee el selector de la cabecera DKIM-Signature del mensaje, busca la clave y comprueba que el mensaje no ha cambiado por el camino. Una firma DKIM sobrevive al reenvío, lo que la convierte en la más fiable de las dos.
Cada servicio que envía por ti necesita su propia configuración DKIM, normalmente en sus ajustes de administración, en «autenticación» o «dominio verificado». Usa claves de 2048 bits cuando el servicio las ofrezca; las de 1024 bits siguen funcionando, pero son el mínimo, y las más cortas se rechazan. Cuando un servicio rota sus claves, el nuevo selector tiene que estar en tu DNS antes de usarse; si no, las firmas fallan.
DMARC: vincúlalo a la dirección From
DMARC es un registro TXT en _dmarc de tu dominio:
_dmarc.example.com. TXT «v=DMARC1; p=none; rua=mailto:dmarc@example.com»
Hace dos cosas que SPF y DKIM no pueden hacer por separado.
Primero, exige alineación. Un mensaje solo pasa DMARC cuando SPF o DKIM pasan para el mismo dominio que la dirección From visible. Una newsletter enviada a través de un servicio que firma con su propio dominio pasa DKIM, pero no para tu dominio, así que no pasa DMARC. Por eso cada servicio tiene que firmar con tu dominio.
Segundo, establece una política para el correo que no pasa:
p=none: entregarlo como siempre. No cambia nada, pero los receptores pueden enviarte informes.
p=quarantine: enviarlo a spam.
p=reject: rechazarlo.
La etiqueta rua pide a los receptores que envíen informes agregados diarios a la dirección que elijas. Indican qué servidores enviaron correo en nombre de tu dominio y si pasaron la verificación, y así descubres remitentes que habías olvidado.
Configúralos en el orden correcto
Pasar directamente a p=reject es la forma clásica de conseguir que tus propias facturas o los restablecimientos de contraseña dejen de llegar. Hazlo por pasos:
Haz una lista de todo lo que envía en nombre de tu dominio. Tu proveedor de correo, la herramienta de newsletters, el CRM, el helpdesk, el sistema de reservas, la plataforma de e-commerce, el formulario de contacto de la web y cualquier servidor que envíe notificaciones.
Configura DKIM en cada uno con tu propio dominio, siguiendo las instrucciones de cada servicio.
Crea un único registro SPF con los servicios que lo necesiten, por debajo de 10 consultas y terminado en ~all.
Publica DMARC con p=none y una dirección rua, y déjalo así de dos a cuatro semanas.
Corrige cada remitente legítimo que falle; normalmente es un servicio que sigue firmando con su propio dominio.
Pasa a p=quarantine, si quieres con pct=25 para empezar con una cuarta parte del correo que falla, y después a p=reject cuando no falle nada legítimo.
Los dominios que nunca envían correo también merecen protección, porque son fáciles de suplantar. Dales un registro que lo indique:
example.org. TXT «v=spf1 -all»
_dmarc.example.org. TXT «v=DMARC1; p=reject»
Errores que rompen el correo sin avisar
Un segundo registro SPF añadido para un servicio nuevo, en lugar de un include en el primero.
Un registro SPF que superó las 10 consultas al añadir una herramienta más.
Una newsletter o un CRM que envía con su propio dominio DKIM, de modo que DMARC falla aunque la firma sea válida.
Una clave DKIM rotada en el proveedor pero nunca publicada en el DNS.
Un registro DMARC con una errata, como p=rejected, que los receptores ignoran.
Pasar a p=reject antes de comprobar que todos los remitentes pasan.
Un registro MX modificado o un servidor de correo que acaba en una lista negra, lo que perjudica la entrega independientemente de los registros.
Ninguno de estos errores produce un aviso que puedas ver. El correo simplemente empieza a ir a spam, y te enteras semanas después, cuando un cliente te dice que nunca recibió la factura.
Comprueba tus registros
Puedes comprobar tu dominio ahora mismo con nuestro comprobador gratuito de SPF, DKIM y DMARC. Lee los registros del DNS, cuenta las consultas de SPF, busca claves DKIM en los selectores habituales y te explica qué corregir, con el registro listo para pegar.
Los registros que hoy están bien se rompen cuando alguien añade un servicio el mes que viene. La monitorización de la autenticación del correo de Uptimecheck comprueba SPF, DKIM y DMARC en tus monitores de dominio dos veces al día, explica cada problema con palabras sencillas, te da el registro DNS que lo soluciona y solo te avisa cuando aparece un problema nuevo. También busca en listas negras los servidores de correo que gestionas tú mismo, para que una inclusión no pase desapercibida. Añádela a la monitorización de dominios, que ya te avisa antes de que caduque el propio dominio.
Lista de comprobación
Haz una lista de todos los servicios que envían correo en nombre de tu dominio.
Configura DKIM con tu propio dominio en cada uno de ellos, con 2048 bits siempre que sea posible.
Mantén un único registro SPF, por debajo de 10 consultas y terminado en ~all o -all.
Publica DMARC con p=none y una dirección para los informes.
Corrige cada remitente legítimo que no pase la alineación.
Pasa a p=quarantine y después a p=reject.
Protege los dominios que no envían correo con v=spf1 -all y p=reject.
Revisa los registros con regularidad y cada vez que una nueva herramienta empiece a enviar por ti.