SPF, DKIM y DMARC: cómo configurarlos paso a paso

Qué hace cada uno

• SPF (Sender Policy Framework): la lista de servidores autorizados a enviar correo con tu dominio. Es un registro TXT en la raíz del dominio que empieza por v=spf1.
• DKIM (DomainKeys Identified Mail): una firma criptográfica que tu proveedor de correo añade a cada mensaje. El servidor que lo recibe comprueba la firma con una clave pública que publicas en el DNS, y así sabe que el mensaje no se ha modificado y que lo firmó tu dominio.
• DMARC: une los dos anteriores. Dice al servidor que recibe qué hacer con un correo que dice ser de tu dominio y no pasa SPF ni DKIM alineados (dejarlo pasar, mandarlo a spam o rechazarlo) y adónde enviarte los informes.

La palabra clave es alineación: para DMARC no basta con que el mensaje pase SPF o DKIM, el dominio que pasa la comprobación tiene que coincidir con el que ve el destinatario en el remitente. Un correo enviado por una plataforma de boletines con su propio dominio puede pasar SPF y aun así fallar DMARC.

Cómo comprobar los tuyos

Desde la terminal (en Windows, nslookup funciona igual):

dig +short TXT tu-dominio.com            # SPF: la línea que empieza por v=spf1
dig +short TXT _dmarc.tu-dominio.com     # DMARC
dig +short TXT selector._domainkey.tu-dominio.com   # DKIM: el selector lo da tu proveedor

nslookup -type=TXT _dmarc.tu-dominio.com

El análisis gratuito revisa los tres de una vez junto con el resto de la web, y te dice qué falta. Para ver si un correo concreto pasa, envíate uno a una cuenta de Gmail y abre Mostrar original: verás SPF: PASS, DKIM: PASS y DMARC: PASS o lo que falle.

Paso 1: SPF, un solo registro

Haz la lista de todo lo que envía correo con tu dominio: tu buzón (Google Workspace, Microsoft 365, el correo del hosting), la tienda o la web (avisos de pedidos, formularios), la herramienta de boletines y el programa de facturación. Cada uno te dice qué añadir. Un ejemplo con Google Workspace y Brevo:

v=spf1 include:_spf.google.com include:spf.brevo.com ~all

• Un solo registro SPF por dominio. Si hay dos líneas v=spf1, el SPF entero falla. Es el error que más veo, normalmente después de cambiar de proveedor y añadir el nuevo sin quitar el viejo.
• Máximo 10 consultas DNS. Cada include, a, mx y redirect cuenta, y los include de los proveedores a su vez hacen más. Por encima de 10, el resultado es un error permanente. Quita los proveedores que ya no uses antes de añadir otro.
• ~all o -all al final. ~all marca como sospechoso lo que no está en la lista; -all pide rechazarlo. Con DMARC activado, ~all es lo habitual. Nunca +all: autoriza a cualquiera.

Paso 2: DKIM, en cada proveedor

DKIM no se escribe a mano: se activa en el panel de cada servicio que envía correo, que te da uno o varios registros (TXT o CNAME) con un nombre del tipo selector._domainkey. Los publicas en tu DNS y vuelves al panel a pulsar «verificar». Hazlo en todos los que envían con tu dominio, no solo en el buzón principal: la herramienta de boletines y la web también.

Paso 3: DMARC, de observar a rechazar

Empieza por un registro que solo observa y pide informes:

_dmarc.tu-dominio.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@tu-dominio.com"

1. p=none durante dos a cuatro semanas. No cambia nada en la entrega, pero los grandes proveedores te envían a diario un informe XML con quién ha enviado correo con tu dominio y si pasó SPF y DKIM. Hay servicios gratuitos que los convierten en tablas legibles.
2. Corrige lo que salga. Cada servicio legítimo que aparezca fallando necesita su SPF o su DKIM. Lo que no reconozcas es, a menudo, alguien suplantando tu dominio: exactamente lo que DMARC va a cortar.
3. p=quarantine. Lo que falle irá a la carpeta de spam. Si quieres un periodo de prueba, añade t=y: pide a quien recibe que aplique la política de un nivel por debajo mientras lo revisas. Es el sustituto de la antigua etiqueta pct=, que la versión actual de DMARC (RFC 9989) ha retirado.
4. p=reject. Lo que falle se rechaza. Es el objetivo para un dominio que envía correo y lo tienes controlado.

Lo cuento con mi propio dominio: webintacta.com envía con un servicio transaccional autenticado (SPF y DKIM alineados) y tiene DMARC en p=quarantine, después de una etapa en p=none mirando los informes; el siguiente paso es p=reject. No hay atajo: saltar directamente a reject sin mirar los informes es la forma más rápida de dejar de recibir respuestas a tus presupuestos.

Dominios que no envían correo

Si tienes dominios que no usas para enviar (el .es que redirige al .com, el de una campaña antigua), protégelos también, porque son los favoritos para suplantar. Basta con dos registros:

tu-otro-dominio.es          TXT  "v=spf1 -all"
_dmarc.tu-otro-dominio.es   TXT  "v=DMARC1; p=reject"

Por qué ya no es opcional

Desde febrero de 2024, Gmail exige SPF o DKIM a todo el que le envía correo, y a quien envía más de 5.000 mensajes al día a cuentas de Gmail le exige además SPF, DKIM y DMARC alineados; Yahoo aplica requisitos equivalentes y Microsoft (Outlook.com, Hotmail) anunció los suyos para grandes remitentes en 2025. Una pyme no llega a esos volúmenes, pero los filtros de spam premian a quien cumple y castigan a quien no: la diferencia se nota en la bandeja de entrada.

Además, sin DMARC cualquiera puede enviar un correo con tu dominio en el remitente. Es la base del fraude de la factura falsa («hemos cambiado de cuenta bancaria») que tanto llega a las pymes. Y si tu dominio acaba en una lista de spam, lo que hay que hacer está en dominio en lista negra.

Fuentes

• RFC 7208: SPF (límite de 10 consultas DNS, apartado 4.6.4)
• RFC 6376: DKIM
• RFC 9989: DMARC (sustituye a la RFC 7489; etiquetas t y np)
• Google: directrices para remitentes de correo
• Yahoo: requisitos para remitentes