Contratas un correo con tu dominio, mandas una cotización y… llega a spam. O peor: alguien manda correos falsos haciéndose pasar por tu empresa. Las dos cosas se resuelven con tres registros DNS: SPF, DKIM y DMARC.
SPF: quién puede enviar por ti
Un registro TXT en tu dominio que lista los servidores autorizados a enviar correo con tu nombre:
tudominio.com. TXT "v=spf1 include:zoho.com include:_spf.google.com ~all"Reglas que evitan problemas:
- Solo un registro SPF por dominio. Si usas dos proveedores, se combinan en uno con varios
include:. - Máximo 10 consultas DNS (cada
include,a,mxcuenta). Si te pasas, SPF falla completo. ~all(softfail) es buen punto de partida;-alles más estricto.
DKIM: la firma de cada correo
Tu proveedor firma cada mensaje con una llave privada, y tú publicas la llave pública en el DNS. El receptor verifica que el correo no fue alterado y que realmente salió de un servidor autorizado.
selector._domainkey.tudominio.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."El proveedor (Zoho, Google Workspace, Microsoft 365, Resend, etc.) te da el selector y el valor exacto. Cada servicio que envía correo por ti necesita su propio DKIM.
DMARC: qué hacer si algo no cuadra
DMARC le dice al receptor qué hacer con los correos que fallan SPF o DKIM, y te manda reportes:
_dmarc.tudominio.com. TXT "v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com"p=none: solo observa y reporta. Empieza aquí.p=quarantine: manda a spam lo que falle.p=reject: rechaza lo que falle.
El camino recomendado es arrancar en none, revisar los reportes un par de semanas para detectar servicios legítimos que olvidaste (el sistema de facturación, el CRM, el formulario del sitio), y luego subir a quarantine.
Alineación: el detalle que casi todos olvidan
DMARC pide que el dominio del remitente visible (From:) coincida con el dominio validado por SPF o DKIM. Si tu formulario web envía desde noreply@servicio-externo.com “en nombre de” tu dominio, no va a alinear. Configura cada servicio para enviar con tu dominio y su DKIM.
Requisitos de Gmail y Yahoo
Desde 2024, Gmail y Yahoo exigen a quienes envían volumen alto tener SPF, DKIM y DMARC configurados, además de facilitar la baja de listas. Aunque no envíes miles de correos, tenerlos configurados mejora mucho la entrega.
Cómo comprobarlo
- Envía un correo a una cuenta de Gmail.
- Abre el mensaje → menú → “Mostrar original”.
- Busca
SPF: PASS,DKIM: PASSyDMARC: PASS.
Si alguno falla, el mismo encabezado te dice por qué.
Resumen
| Registro | Qué hace | Dónde |
|---|---|---|
| SPF | Lista quién puede enviar | TXT en tudominio.com |
| DKIM | Firma cada correo | TXT en selector._domainkey |
| DMARC | Política y reportes | TXT en _dmarc |
¿Tus correos llegan a spam o no sabes qué tienes configurado? Lo reviso contigo.