SPF, DKIM y DMARC: cómo configurarlos en tu dominio

Resumen en seis pasos

1. Haz una lista de todos los servicios que envían correo con tu dominio.
2. Publica un solo registro SPF que los incluya a todos.
3. Activa DKIM en cada servicio y publica la clave que te entregue.
4. Publica DMARC en modo observación (p=none) con una dirección para recibir informes.
5. Comprueba el resultado con un mensaje de prueba, no solo con el DNS.
6. Endurece la política DMARC solo cuando los informes muestren que todo tu correo legítimo pasa.

¿Quieres saber qué publica hoy tu dominio? Revisa tu dominio gratis antes de cambiar nada.

1. Antes de empezar: quién envía con tu dominio

SPF y DKIM se configuran por emisor. Si olvidas uno, sus correos pueden fallar cuando actives DMARC. Revisa al menos estos:

• Tu proveedor de correo (Google Workspace, Microsoft 365, Zoho Mail u otro).
• El sistema de facturación o de documentos tributarios que envía correos a tus clientes.
• Los formularios y avisos de tu sitio web o tienda en línea.
• Las herramientas de boletines, CRM o soporte.

Cada servicio documenta su propio include de SPF y su forma de activar DKIM. Usa siempre el valor que publica el proveedor.

2. SPF: qué servidores pueden enviar en tu nombre

SPF es un registro TXT en la raíz del dominio que empieza con v=spf1. Hay tres reglas que conviene respetar:

• Un único registro SPF. Si hay dos registros que empiezan con v=spf1, la evaluación termina en error. Para añadir un emisor, agrega su include al registro existente.
• Máximo 10 consultas DNS. Cada include, a, mx, exists o redirect cuenta, incluidas las que hay dentro de cada include. Si pasas el límite, SPF falla con error permanente (RFC 7208).
• El final del registro. ~all marca como fallo suave lo no autorizado. -all lo marca como fallo. Para DMARC, ambos cuentan como fallo de SPF.

Valores de cada proveedor

Google Workspace, si es tu único emisor (ayuda de Google):

v=spf1 include:_spf.google.com ~all

Microsoft 365, que recomienda terminar en -all cuando también usas DKIM y DMARC (documentación de Microsoft):

v=spf1 include:spf.protection.outlook.com -all

Zoho Mail. El panel de administración indica el valor exacto para el centro de datos de tu cuenta (ayuda de Zoho):

v=spf1 include:zohomail.com ~all

Con dos emisores, por ejemplo Google Workspace y un sistema de facturación, se combinan en un solo registro. El segundo include es ilustrativo, porque cada servicio publica el suyo:

v=spf1 include:_spf.google.com include:spf.proveedor.example ~all

3. DKIM: la firma de cada mensaje

DKIM no se inventa en el DNS. Cada emisor genera una clave, tú la publicas y después activas la firma en ese servicio. El nombre del registro incluye un selector que elige el proveedor o tú.

• Google Workspace: consola de administración → Aplicaciones → Google Workspace → Gmail → Autenticar correo electrónico. El selector predeterminado es google. Si acabas de activar Gmail, la clave puede tardar entre 24 y 72 horas en estar disponible (ayuda de Google).
• Microsoft 365: portal de Microsoft Defender → Correo electrónico y colaboración → Directivas y reglas → Directivas de amenazas → Configuración de autenticación de correo electrónico → DKIM. Copia los dos registros CNAME (selector1 y selector2) que muestra el portal, sin construirlos a mano (documentación de Microsoft).
• Zoho Mail: consola de administración → Dominios → tu dominio → Configuración de correo electrónico → DKIM. Añade un selector, publica el registro TXT, verifica y deja el selector como predeterminado (ayuda de Zoho).

Desde fuera no se puede saber con certeza si un dominio firma con DKIM: hay que conocer el selector. Por eso la comprobación definitiva es un mensaje de prueba.

4. DMARC: qué hacer con lo que no pasa

DMARC es un registro TXT en _dmarc.tudominio. Un mensaje pasa DMARC si SPF o DKIM pasan y el dominio que validan coincide con el del remitente visible (alineación). Para empezar, usa el modo observación:

v=DMARC1; p=none; rua=mailto:dmarc@tudominio.example

• p es la política: none (observar), quarantine (tratar como sospechoso) o reject (rechazar).
• rua es la dirección que recibe los informes agregados. Si apunta a otro dominio, ese dominio debe autorizarlo en su DNS. Los servicios de informes suelen hacerlo por ti.
• Google recomienda esperar 48 horas después de configurar SPF y DKIM antes de publicar DMARC (ayuda de Google).

Pasa a quarantine o reject solo cuando los informes muestren que todos tus emisores legítimos pasan. Si lo haces antes, puedes bloquear tus propias facturas o avisos.

5. Cómo comprobar que funciona

1. Revisa el DNS publicado con el revisor gratuito: SPF único y dentro del límite, DMARC presente y MX.
2. Envía un mensaje desde cada emisor a una cuenta de Gmail de otra persona o de prueba.
3. En Gmail, abre el mensaje → menú ⋮ → Mostrar original. SPF, DKIM y DMARC deben indicar PASS.

Los cambios de DNS pueden tardar en propagarse. Si el resultado no cambia, espera unas horas y vuelve a probar.

Qué piden Gmail y Outlook.com

• Gmail exige SPF o DKIM a todos los remitentes. A quienes envían más de 5.000 mensajes al día a cuentas de Gmail les pide SPF, DKIM y DMARC, con alineación (directrices de Gmail).
• Outlook.com exige SPF, DKIM y DMARC (al menos p=none) a los dominios que envían más de 5.000 mensajes al día (anuncio de Microsoft).

Aunque envíes poco, configurar los tres ayuda a que los receptores reconozcan tu correo y dificulta que otros se hagan pasar por tu dominio. La autenticación no garantiza la bandeja de entrada: también influyen el contenido, la frecuencia y la reputación.

Errores frecuentes

• Publicar un segundo registro SPF en vez de editar el existente.
• Superar las 10 consultas DNS al sumar emisores.
• Olvidar el sistema de facturación o el formulario web en el inventario.
• Publicar la clave DKIM sin activar la firma en el servicio.
• Escribir el dominio completo en el nombre del registro cuando el panel ya lo añade, lo que crea _dmarc.tudominio.cl.tudominio.cl.
• Publicar p=reject sin revisar antes los informes.