SPF, DKIM y DMARC: evita que tu correo llegue a spam

📅 Publicado el 21 de octubre, 2026 · Por Equipo RedServicio

Configurar SPF DKIM DMARC es, hoy por hoy, uno de esos pasos que ningún webmaster o emprendedor debería saltarse si envía correos desde su propio dominio: formularios de contacto, facturas, newsletters, notificaciones de pedidos… Sin estos tres registros en tu DNS, lo más probable es que tus emails acaben en la carpeta de spam de Gmail, Outlook o Yahoo. Y con ellos, la confianza de tus clientes (y las ventas, claro). En esta guía te explicamos qué hace cada uno de estos mecanismos de autenticación y cómo implementarlos bien, paso a paso y con ejemplos reales que puedes adaptar a tu dominio.

¿Qué son SPF, DKIM y DMARC y por qué tu correo depende de ellos?

Imagina una carta oficial sin sello, sin firma y sin remitente verificable. ¿Quién se fiaría de ella? Pues con el email pasa exactamente lo mismo. Los proveedores de correo necesitan pruebas de que quien envía un mensaje con tu dominio tiene permiso para hacerlo. Para eso existen estos tres estándares:

• SPF (Sender Policy Framework): una lista pública en tu DNS que declara qué servidores tienen autorización para enviar correo en nombre de tu dominio.
• DKIM (DomainKeys Identified Mail): una firma criptográfica que viaja dentro de cada email y garantiza que nadie ha modificado el contenido por el camino.
• DMARC (Domain-based Message Authentication, Reporting and Conformance): la capa que une SPF y DKIM y les dice a los receptores qué hacer si algo falla (rechazar, poner en cuarentena o entregar igualmente), además de enviarte informes sobre abusos.

Ojo al dato: desde 2024, Gmail y Yahoo exigen de forma obligatoria SPF y DKIM (y DMARC para quienes envían más de 5.000 emails diarios) a cualquier remitente masivo. Si tu web usa formularios, WooCommerce o un CRM, configurar estos registros dejó de ser opcional hace tiempo. Es, sencillamente, la diferencia entre llegar a la bandeja de entrada o desaparecer en spam.

Cómo configurar SPF, DKIM y DMARC: registro SPF paso a paso

El registro SPF es un registro TXT que se añade en la zona DNS de tu dominio. Su sintaxis básica es esta:

v=spf1 include:_spf.tuservidor.com ip4:203.0.113.45 -all

Vamos a descifrarlo:

1. v=spf1: indica la versión del protocolo. Siempre va primero.
2. include:_spf.tuservidor.com: autoriza a los servidores de tu proveedor de hosting o email. Si usas RedServicio para tu correo, nuestro equipo te facilita este valor exacto durante la puesta en marcha.
3. ip4:203.0.113.45: permite el envío desde una IP concreta (usa ip6: para IPv6).
4. -all: rechazo estricto de todo lo no autorizado. Si estás en fase de pruebas, puedes empezar con ~all (fallo suave) y endurecerlo después.

Errores frecuentes que conviene evitar:

• Doble registro SPF: solo puede existir un registro TXT con v=spf1 por dominio. Varios registros invalidan la autenticación entera.
• Superar los 10 lookups DNS: cada include consume consultas de un límite de 10. Si lo superas, el SPF falla permanentemente.
• Olvidar un servicio de envío: si tu tienda envía con un proveedor que no figura en el SPF, sus emails fallarán. No lo dudes.

Una vez guardado el registro, verifica con herramientas como dig TXT tudominio.com o el comprobador online de MXToolbox, y confirma que devuelve un resultado PASS.

Configurar DKIM: firma criptográfica para tus emails

DKIM funciona con un par de claves: tu servidor de correo firma cada mensaje con una clave privada, y tú publicas la clave pública en el DNS para que los receptores puedan verificar la firma. La configuración habitual es así:

1. Genera las claves: la mayoría de paneles (cPanel, Plesk) generan el par automáticamente al activar DKIM para el dominio.
2. Publica el registro TXT: se crea en un selector, por ejemplo selector._domainkey.tudominio.com, con un valor largo tipo v=DKIM1; k=rsa; p=MIIBIjANBg…
3. Activa la firma en tu servidor de correo: asegúrate de que los mensajes salientes se firman con ese selector.
4. Comprueba el resultado: envía un email de prueba a Gmail y revisa las cabeceras originales; busca DKIM-Signature y el resultado dkim=pass.

Un detalle que causa más de un quebradero de cabeza: al copiar la clave pública al DNS, algunos paneles dividen el valor en varias cadenas entre comillas. Ese formato es válido, pero no elimines las comillas ni añadas saltos de línea a mano, porque la validación fallará.

Con SPF y DKIM correctamente publicados, ya tienes las dos piezas fundamentales de autenticación listas; en la siguiente parte veremos cómo unirlas con la política DMARC.

Implementar DMARC: políticas y reportes de entrega

SPF y DKIM ya funcionan. Ahora falta la pieza que cierra el círculo si quieres configurar SPF DKIM DMARC de verdad: publicar tu registro DMARC. ¿Qué hace exactamente? Le dice a los servidores receptores qué deben hacer cuando llega un correo que dice ser tuyo pero que no supera las verificaciones de autenticación. Se publica como registro TXT en el subdominio _dmarc.tudominio.com.

Un registro básico se ve así:

v=DMARC1; p=none; rua=mailto:[email protected]; adkim=r; aspf=r

La etiqueta crítica es p, la política. Admite tres valores:

• p=none: no se toma ninguna acción, pero sí recibes reportes. Es el punto de partida lógico. Monitorizas sin riesgo.
• p=quarantine: los correos no autenticados acaban en spam.
• p=reject: se rechazan directamente. La más estricta. Y la única que protege tu marca de verdad.

¿Y la etiqueta rua? Define a qué dirección llegarán los reportes agregados: informes XML que te muestran qué servidores están enviando correo en nombre de tu dominio y si pasan o no la autenticación. Aquí siempre hay sorpresas. Al analizarlos descubres envíos legítimos que olvidaste autorizar (boletines de terceros, herramientas de facturación, cosas que llevaban meses saliendo sin que nadie lo supiera).

Mi consejo práctico: ve despacio. Empieza con p=none unas semanas, revisa los reportes, corrige lo necesario con rua y rufo, pasa luego a p=quarantine con un porcentaje (pct=25, por ejemplo) y sube gradualmente hasta p=reject. Saltar directo a reject sin haber analizado nada es la receta perfecta para bloquear correos legítimos de tu propia empresa. Lo he visto más de una vez.

Errores comunes al autenticar tu dominio y cómo verificarlo todo

Publicados los tres registros, conviene repasar los fallos que aparecen una y otra vez:

• Superar los 10 mecanismos DNS en SPF: demasiados includes y el SPF devuelve permerror. Se ignora por completo. Usa menos referencias y elimina duplicados.
• Tener dos registros TXT SPF: solo puede existir uno. Fusiona todos los mecanismos en un único registro.
• Olvidar actualizar el SPF al cambiar de proveedor: migras de plataforma de email marketing y el include antiguo sobra mientras falta el nuevo. Clásico.
• No alinear el dominio del From con DKIM/SPF: DMARC exige que el dominio visible coincida con el autenticado. Un From corporativo firmado con el dominio del proveedor fallará si no hay alineación.
• Usar p=reject sin monitorizar antes: ya lo decíamos. Sin reportes previos puedes bloquear envíos legítimos sin enterarte.

¿Cómo comprobar que todo está bien? Con herramientas gratuitas que funcionan muy bien:

1. Consulta tus registros DNS con dig TXT tudominio.com o con herramientas online de lookup de SPF, DKIM y DMARC.
2. Envía un correo de prueba a Gmail y abre «mostrar original». Debe indicar SPF PASS, DKIM PASS y DMARC PASS.
3. Registra tu dominio en Google Postmaster Tools para vigilar tu reputación de forma continua.

Si trabajas con un panel como el que ofrecemos en RedServicio, publicar estos registros lleva pocos clics desde el gestor DNS. Y nuestro soporte 24/7 puede revisar contigo cada uno antes de darlo por bueno.

Conclusión: entregabilidad garantizada con una buena configuración

Configurar SPF DKIM DMARC no es un capricho técnico. Es, sencillamente, la diferencia entre que tus correos lleguen a la bandeja de entrada o se pierdan en spam. SPF autoriza quién puede enviar por ti. DKIM garantiza que el contenido no se altera. DMARC une ambas piezas bajo una política clara, con reportes que te dan visibilidad total sobre el uso de tu dominio.

El proceso completo cabe en cuatro pasos: publicar un registro SPF correcto, generar y activar una clave DKIM en tu proveedor de correo, lanzar una política DMARC progresiva empezando por p=none, y monitorizar los reportes hasta llegar a p=reject. Con eso proteges tu reputación, mejoras tus tasas de entrega y blindas a tus clientes frente al phishing que suplanta tu marca.

Una tarde de trabajo. Eso cuesta. Y es de las inversiones de mayor retorno que existe para cualquier webmaster o emprendedor. Si prefieres no pelearte con los registros DNS, en RedServicio te echamos una mano: hosting de calidad y soporte 24/7 para que tu correo y tu web funcionen sin complicaciones.