En febrero de 2024, Google y Yahoo hicieron obligatoria la autenticación de correo electrónico para los remitentes masivos. Si envías más de 5.000 correos al día, debes tener configurados SPF, DKIM y DMARC; de lo contrario, tus correos serán rechazados o acabarán en la carpeta de spam.
Pero aunque envíes menos correos, estos tres protocolos son esenciales para la entregabilidad. Demuestran a los proveedores de bandeja de entrada que tus correos realmente proceden de ti y que no han sido alterados durante el envío.
En esta guía, te explicaré qué hace cada protocolo, cómo funcionan juntos y cómo configurarlos correctamente, incluso si no eres un experto técnico.
Los tres pilares de la autenticación de correo electrónico
Piensa en la autenticación de correo electrónico como en el control de seguridad de un aeropuerto:
| Protocolo | Qué hace | Analogía del mundo real |
|---|---|---|
| SPF | Autoriza qué servidores pueden enviar correo en nombre de tu dominio | Tu pasaporte: demuestra que eres quien dices ser |
| DKIM | Firma criptográficamente tus correos para evitar manipulaciones | El precinto de seguridad de tu equipaje: demuestra que nadie lo ha abierto |
| DMARC | Indica a los receptores qué hacer si falla SPF o DKIM | La política de seguridad: "si el pasaporte o el precinto están rotos, deniega la entrada" |
Los tres funcionan en conjunto. SPF sin DMARC es como tener un pasaporte pero no tener un agente de inmigración que lo compruebe. DKIM sin DMARC es un precinto que nadie revisa.
SPF: Sender Policy Framework
Qué hace SPF
SPF es un registro TXT de DNS que enumera las direcciones IP y los servidores autorizados a enviar correo en nombre de tu dominio. Cuando un servidor de correo receptor recibe un correo de you@yourdomain.com, it checks your domain's SPF record to confirm the sending server is authorized.
Cómo configurar SPF
Añade un registro TXT en la configuración DNS de tu dominio:
Type: TXT
Host/Name: @ (or yourdomain.com)
Value: v=spf1 include:_spf.google.com include:sendgrid.net ~all
Desglose de la sintaxis:
| Mecanismo | Significado |
|---|---|
v=spf1 |
Este es un registro SPF v1 |
include:_spf.google.com |
Autoriza los servidores de correo de Google (para Gmail/Google Workspace) |
include:sendgrid.net |
Autoriza los servidores de SendGrid |
-all |
Fallo estricto (rechazar todo lo demás) |
~all |
Fallo suave (aceptar pero marcar como sospechoso) |
+all |
Permitir todo: nunca uses esto |
Errores comunes de SPF que debes evitar
- Múltiples registros SPF: Solo puedes tener UN registro SPF por dominio. Si tienes dos, ambos quedarán inválidos.
- Demasiadas búsquedas DNS: SPF tiene un límite de 10 búsquedas DNS por comprobación. Usa herramientas como
spf-record.comto validate. - Usar
+all: Esto autoriza a cualquiera a enviar correos en nombre de tu dominio, lo contrario de lo que quieres. - Olvidar incluir remitentes de terceros: Tu ESP, CRM, mesa de ayuda y cualquier otra herramienta que envíe correos desde tu dominio.
DKIM: DomainKeys Identified Mail
Qué hace DKIM
DKIM añade una firma digital a cada correo saliente. El servidor receptor utiliza tu clave pública (publicada en el DNS) para verificar que el correo no fue modificado durante el envío y que realmente procede de tu dominio.
Cómo configurar DKIM
La mayoría de los proveedores de correo generan las claves DKIM por ti. Este es el proceso típico:
- Genera las claves en el panel de tu proveedor de correo (Google Workspace, Brevo, SendGrid, etc.)
- Añade el registro DNS que te proporcionen:
Tipo: TXT
Host/Nombre: google._domainkey.tudominio.com (varía según el)
proveedor: Valor=vrsa ;=krsa ;=pMIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ
- ...Activa la firma DKIM
- Verificar en la configuración de tu proveedor
Selectores DKIM
El "selector" (google, s1, smtp, etc.) is an identifier that tells the receiving server which DKIM key to use. Your ESP provides the selector — it's part of the DNS hostname:
<selector>._domainkey.yourdomain.com
Puedes tener varios selectores DKIM para diferentes servicios (por ejemplo, google._domainkey for Google Workspace, s1._domainkey for your ESP).
Buenas prácticas de DKIM
- Usa una clave de 2048 bits como mínimo. Las claves de 1024 bits ya no se consideran seguras.
- Rota las claves periódicamente (cada 6–12 meses)
- Asegúrate de que tu ESP firme realmente los correos con DKIM antes de añadir el registro DNS
DMARC: Autenticación de mensajes basada en dominios, informes y conformidad
Qué hace DMARC
DMARC es la capa de políticas que une SPF y DKIM. Indica a los servidores receptores:
- Qué comprobar (SPF, DKIM o ambos)
- Qué hacer si la comprobación falla (no hacer nada, poner en cuarentena o rechazar)
- Dónde enviar los informes sobre los resultados de autenticación
Cómo configurar DMARC
Añade un registro TXT a tu dominio:
Tipo: TXT
Host/Nombre: _dmarc.tudominio.com
proveedor: Valor=DMARC1rsa ;=quarantinersa rua=mailto:dmarc-reports@yourdomain.comrsa ruf=mailto:dmarc-forensics@yourdomain.comrsa pct=100
Niveles de política (p=):
| Política | Significado | Cuándo usarla |
|---|---|---|
p=none |
Solo monitorizar: no bloquear nada | Configuración inicial, fase de pruebas |
p=quarantine |
Enviar los correos sospechosos a spam | Tras 1–2 semanas de monitorización |
p=reject |
Bloquear todo el correo no autenticado | Después de verificar que no se está bloqueando ningún correo legítimo |
Ruta de implementación recomendada:
- Comience con
p=noneandrua(aggregate reports) for 1–2 weeks - Revise los informes DMARC para identificar remitentes no autorizados
- Pase a
p=quarantinefor another 1–2 weeks - Pase a
p=rejectonce you're confident all legitimate senders pass
Cómo funcionan juntos los tres
Cuando envía un correo electrónico, esto es lo que ocurre en el servidor receptor:
1. SPF Marcar: "¿La IP del servidor remitente aparece en el registro SPF?"
→ PASS o FAIL
2. DKIM Marcar: "¿La firma DKIM coincide con la clave pública en el DNS?"
→ PASS o FAIL
3. DMARC Marcar: "¿Qué debo hacer según los resultados de SPF/DKIM?"
→ NONE: Entregar normalmente
→ QUARANTINE: Enviar a spam carpeta
→ REJECT: Bloquear por completo (rebote)
Para que DMARC pase, al menos UNO de SPF o DKIM debe pasar Y alinearse con el dominio remitente. Esto significa:
- Si SPF pasa pero DKIM falla → DMARC puede pasar
- Si DKIM pasa pero SPF falla → DMARC puede pasar
- Si ambos fallan → DMARC falla
Cómo probar tu configuración de autenticación
Usa estas herramientas gratuitas para verificar tu configuración:
- Google Admin Toolbox CheckMX: Ve a
https://toolbox.googleapps.com/apps/checkmx/and enter your domain - MXToolbox: Revisa SPF, DKIM y DMARC por separado en
https://mxtoolbox.com/ - DMARC Analyzer de Dmarcian: Sube los informes DMARC para un análisis detallado
- Envía un correo de prueba a
check-auth@verifier.port25.com— it replies with a detailed SPF/DKIM/DMARC report
Errores comunes que rompen la autenticación
1. Olvidar actualizar SPF al cambiar de ESP
Cuando cambies de Mailchimp a Brevo (o de cualquier ESP), actualiza tu registro SPF para incluir el nuevo proveedor Y mantén el anterior durante la transición.
2. Clave DKIM demasiado corta
Las claves DKIM de 1024 bits están obsoletas. Google y Microsoft pueden rechazarlas. Usa siempre un mínimo de 2048 bits.
3. DMARC rua Email Doesn't Exist
El rua address receives aggregate XML reports. If this mailbox doesn't exist or is full, you lose visibility into authentication failures.
4. Error PermError de SPF (demasiadas búsquedas)
Cada include:, a, mx, and ptr mechanism counts as a DNS lookup. The limit is 10. If you exceed it, SPF fails with a PermError — which means it's treated as if it doesn't exist.
Solución: Usa un servicio alojado de aplanamiento de SPF o consolida tus includes.
Puntos clave
- SPF + DKIM + DMARC son obligatorios para remitentes masivos (requisito de Google/Yahoo desde febrero de 2024)
- Comience con
p=none, supervisar durante 2 semanas y luego cambiar ap=quarantinethenp=reject - Verifica tu configuración usando Google CheckMX, MXToolbox o la dirección de prueba de Port25
- Un único registro SPF — varios registros invalidan ambos
- Claves DKIM de 2048 bits o superior
- Revisa tu lista de correos con un verificador para asegurarte de que no envías a direcciones no válidas: la autenticación es solo la mitad de la ecuación; la calidad de la lista es la otra mitad
