SPF, DKIM y DMARC sin complicaciones: la guía paso a paso

Si usted envía correos en nombre de su empresa, seguramente ya escuchó hablar de SPF, DKIM y DMARC, casi siempre junto a una pantalla llena de códigos. La buena noticia: la idea detrás de los tres es sencilla, y entender lo básico evita la mayor parte de los problemas de correos en spam.

Piense en un sobre. El SPF dice qué oficinas de correo pueden entregar cartas con su dirección de remitente. El DKIM es un sello que demuestra que la carta salió de usted y no fue abierta en el camino. Y el DMARC es la instrucción que usted deja en la recepción: "si llega una carta en mi nombre sin sello y desde una oficina no autorizada, haga esto con ella".

Por qué se volvió obligatorio

Las estafas que usan el nombre de empresas conocidas son uno de los principales caminos de fraude por correo. Para combatirlas, los grandes proveedores endurecieron las reglas: desde febrero de 2024, Gmail y Yahoo exigen que quien envía en volumen tenga SPF, DKIM y DMARC, y Microsoft empezó a exigir lo mismo para Outlook.com en 2025. Sin estos registros, el mensaje tiende a ir a spam o ni siquiera es aceptado.

Los tres son registros DNS: líneas de configuración publicadas en el panel donde se administra su dominio (Cloudflare, GoDaddy, su proveedor de hosting y otros). No modifican su sitio web ni su buzón de correo.

SPF: quién puede enviar en su nombre

El SPF es un registro TXT, publicado en la raíz del dominio, con la lista de servidores autorizados a enviar correos como @suempresa.com. Un ejemplo:

v=spf1 include:_spf.google.com include:spf.ejemplo.com ~all

Cada include autoriza un servicio (su correo corporativo, la herramienta de campañas, el sistema de facturación). El final ~all indica a los proveedores que desconfíen de cualquier otro servidor.

Errores más comunes:

• Dos registros SPF en el mismo dominio. Solo puede existir uno. Si hay dos, los proveedores consideran el SPF inválido. Reúna los include en un solo registro.
• Superar las 10 consultas. Cada include cuenta, y también los includes dentro de ellos. Por encima de 10, el SPF falla. Quite los servicios que ya no usa.
• Olvidar un servicio legítimo, como el sistema que envía facturas, que empieza a caer en spam.

DKIM: la firma digital

El DKIM firma cada correo con una clave secreta que guarda el servicio de envío. La clave pública queda en su DNS, en un nombre como selector._domainkey.suempresa.com. El proveedor que recibe verifica la firma con esa clave: si coincide, sabe que el mensaje salió de un servicio autorizado y no fue alterado en el camino.

En la práctica, quien configura el DKIM es el servicio de envío: le muestra el registro (un TXT con la clave, o un CNAME que apunta a ella) y usted lo publica en el DNS. La ventaja del CNAME es que el servicio puede renovar la clave periódicamente sin que usted tenga que tocar nada.

Atención: cada servicio que envía en nombre de su dominio necesita su propia firma DKIM, con su propio selector. Conviven sin problema.

DMARC: la regla de la casa

El DMARC es un TXT publicado en _dmarc.suempresa.com. Hace dos cosas. Primero, exige alineación: el dominio que aparece en el campo "De" debe ser el mismo que pasó el SPF o que firmó con DKIM. Segundo, indica qué hacer con quien falla y adónde enviar los informes. Un comienzo seguro:

v=DMARC1; p=none; rua=mailto:dmarc@suempresa.com

La política p tiene tres niveles:

• p=none: solo observa y envía informes. Es por donde todos deben empezar.
• p=quarantine: los correos que fallan van a spam.
• p=reject: los correos que fallan se rechazan. Es la máxima protección contra quien intenta hacerse pasar por su empresa.

Los informes (enviados a la dirección de rua) llegan una vez al día de Google, Microsoft, Yahoo y otros, y muestran todos los servidores que enviaron en nombre de su dominio, legítimos o no. Son los que permiten endurecer la política con seguridad.

El paso a paso

1. Haga una lista de quién envía en nombre del dominio: correo corporativo, herramienta de campañas, ERP, tienda en línea, sistema de facturación, formularios del sitio.
2. Publique un único SPF con los servicios de la lista.
3. Active el DKIM en cada servicio y publique los registros que le indiquen.
4. Publique el DMARC con p=none y una dirección para los informes.
5. Siga los informes durante algunas semanas y corrija lo que aparezca reprobado.
6. Endurezca la política de a poco: quarantine y, cuando todo esté aprobado, reject.

Después de publicar, el DNS puede tardar de algunos minutos a algunas horas en actualizarse. Y conviene revisar de nuevo cada vez que cambie de proveedor de DNS: es uno de los momentos en que más se pierden registros.

Cómo se encarga Hermod

Al registrar su dominio en Hermod, usted ve exactamente los registros que debe publicar, con el paso a paso del panel de su proveedor de DNS, y puede enviar todo directamente a quien administra su sitio. La firma DKIM usa un CNAME, así que Hermod renueva la clave por usted. El DMARC es obligatorio, el SPF se verifica y los informes de los proveedores aparecen en lenguaje sencillo en la pantalla de salud del dominio. Hermod también revisa el DNS todos los días y avisa si algún registro desaparece. Vea cómo funciona en Verificar el dominio de su empresa y Salud del dominio, y si su problema son correos en spam, lea también las 12 causas más comunes.