¿Cómo configurar los registros SPF, DKIM y DMARC?
Explicamos cómo crear los registros SPF, DKIM y DMARC y cómo comprobar que funcionan bien, para que sus correos no caigan en spam y nadie suplante su dominio.
Aurora YazılımEquipo editorial
6 min de lectura
Los registros SPF, DKIM y DMARC se añaden al panel DNS de su dominio como registros TXT (en algunos proveedores, CNAME). SPF define qué servidores pueden enviar correo en su nombre, DKIM la firma digital que demuestra que el mensaje no se ha modificado y DMARC qué se hace con los mensajes que no superan estas comprobaciones. Primero se configuran SPF y DKIM y, después, DMARC con p=none.
¿Por qué los correos caen en spam?
Los servidores receptores como Gmail, Outlook y Yahoo comprueban si cada mensaje entrante procede realmente del dominio remitente. Los mensajes sin autenticación van a la carpeta de spam o no se entregan en absoluto. La causa más común de la queja de que los correos caen en spam es que faltan estos tres registros o que están mal.
Estos registros son también una medida de seguridad. Si no están bien configurados, los estafadores pueden usar su dominio para enviar a sus clientes facturas falsas o solicitudes de pago. Hemos tratado el lado de la seguridad de las cuentas frente al phishing en nuestros artículos cómo crear una contraseña segura y qué son las passkeys.
Google y Yahoo esperan los tres, SPF, DKIM y DMARC, de los remitentes masivos que envían más de 5.000 mensajes al día y, de todos los remitentes, al menos SPF o DKIM. Aunque envíe menos correos, configurar los tres mejora de forma notable la tasa de entrega.
Preparativos antes de la instalación
Antes de escribir los registros, haga una lista de todos los servicios que envían correo en nombre de su dominio. En esa lista no debe estar solo su proveedor de correo corporativo, sino también las notificaciones de formularios de su sitio web, su herramienta de newsletter y el software que envía facturas y avisos de pedido.
- Acceso al panel DNS del dominio (la empresa del dominio o un servicio DNS como Cloudflare)
- Su proveedor de correo corporativo: Google Workspace, Microsoft 365 o el correo de su empresa de alojamiento
- Los servidores desde los que envían su sitio web y las herramientas de newsletter y de notificaciones
- Una dirección de correo para recibir los informes DMARC (p. ej., dmarc@ejemplo.com)
Cómo escribir el registro SPF
El registro SPF es un registro TXT que se añade a la dirección raíz (@) de su dominio y empieza por v=spf1. Contiene las direcciones de los servidores a los que permite enviar en su nombre y, al final, una expresión que indica qué hacer con el resto.
Un dominio puede tener un solo registro SPF. Cuando añada un servicio nuevo, en lugar de crear un segundo registro, añada una expresión include al registro existente; dos registros SPF distintos hacen que la comprobación falle por completo.
- ~all (softfail): los servidores que no están en la lista se consideran sospechosos; es la opción segura durante la transición.
- -all (fail): los servidores que no están en la lista se rechazan; úsela cuando esté seguro de todas las fuentes de envío.
- La comprobación SPF permite como máximo 10 consultas DNS; cada include consume parte de este límite. Si se supera, el registro deja de ser válido.
Tipo: TXT Nombre: @
v=spf1 include:_spf.google.com ~allTipo: TXT Nombre: @
v=spf1 include:spf.protection.outlook.com -allv=spf1 ip4:203.0.113.10 include:_spf.google.com include:<bulten-araci-spf-adresi> ~allQué es DKIM y cómo se configura
DKIM es una firma digital que se añade a cada mensaje enviado. El servidor emisor firma el mensaje con una clave privada y el servidor receptor verifica la firma con la clave pública que usted publica en el DNS. Así se demuestra que el mensaje no se ha modificado por el camino y que realmente procede de su dominio.
La clave DKIM no la genera usted; se crea en el panel de su proveedor de correo. El panel le facilita un nombre de selector (selector) y el valor que debe añadir al DNS. Si es posible, elija una clave de 2048 bits. Después de añadir el registro, no olvide hacer en el panel del proveedor el paso de iniciar o activar la firma; de lo contrario, aunque el registro esté publicado, los mensajes no se firman.
| Proveedor | Tipo y nombre del registro |
|---|---|
| Google Workspace | TXT, google._domainkey (selector predeterminado de Google) |
| Microsoft 365 | Dos CNAME que muestra el panel: selector1._domainkey y selector2._domainkey |
| Correo de alojamiento | Registro TXT con el selector que muestra el panel |
| Herramientas de newsletter | Los registros CNAME o TXT que facilita la herramienta |
Tipo: TXT Nombre: google._domainkey
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...Registro DMARC y elección de la política
El registro DMARC es un registro TXT que se añade al subdominio _dmarc. Exige que al menos una de las comprobaciones SPF y DKIM se supere y que la comprobación superada esté alineada con el dominio de la línea From. Si no se cumple esta condición, la política determina lo que hará el servidor receptor.
Activar DMARC directamente con la política más estricta puede hacer que se pierdan los correos de una fuente de envío que haya olvidado (p. ej., el formulario del sitio). Por eso se recomienda una transición gradual: primero solo observe y, cuando vea en los informes que todas las fuentes legítimas pasan, endurezca la política.
La política DMARC del dominio principal se aplica también a los subdominios que no tienen un registro propio. Si quiere una política distinta para los subdominios, puede usar la etiqueta sp o añadir al subdominio correspondiente su propio registro _dmarc. Durante la transición, vigilar los informes al menos unas semanas en cada fase le permite no pasar por alto ninguna fuente de envío legítima. Para otras guías sobre registros DNS, eche un vistazo a la etiqueta DNS.
- p=none: los mensajes no se ven afectados, solo se recogen informes.
- p=quarantine: los mensajes que no superan la comprobación van a la carpeta de spam.
- p=reject: los mensajes que no superan la comprobación se rechazan; es la protección más fuerte contra la suplantación del dominio.
- Los informes agregados que llegan a la dirección rua están en formato XML; usar una herramienta de informes DMARC facilita la lectura.
Tipo: TXT Nombre: _dmarc
v=DMARC1; p=none; rua=mailto:dmarc@ornek.comv=DMARC1; p=quarantine; pct=100; rua=mailto:dmarc@ornek.comv=DMARC1; p=reject; rua=mailto:dmarc@ornek.com¿Cómo compruebo los registros?
La propagación de los cambios de DNS puede tardar de unos minutos a unas horas. Compruebe desde la línea de comandos que los registros están publicados; en la salida debe ver exactamente el valor que ha escrito.
dig TXT ornek.com +short
dig TXT google._domainkey.ornek.com +short
dig TXT _dmarc.ornek.com +shortnslookup -type=TXT ornek.com
nslookup -type=TXT _dmarc.ornek.com
Resolve-DnsName google._domainkey.ornek.com -Type TXTPrueba con un mensaje real
Envíe un correo desde su dirección corporativa a una cuenta personal de Gmail. Abra el mensaje y, en el menú de la parte superior derecha, haga clic en Mostrar original. En la página que se abre, las tres líneas de SPF, DKIM y DMARC deben decir PASS; si ve FAIL o NEUTRAL, revise de nuevo el registro correspondiente.
Errores frecuentes y soluciones
Los mensajes que salen de su sitio web son la fuente más pasada por alto de estos problemas. Si el formulario de contacto o el aviso de pedido del sitio se envía directamente desde el servidor, sin autenticación, no supera la comprobación de SPF y DKIM. Enviar los formularios a través de su cuenta de correo corporativa con SMTP autenticado resuelve el problema de raíz. Al montar una web corporativa o una plataforma de e-commerce, asegúrese de que los correos de notificación se configuran de este modo.
| Síntoma | Posible causa y solución |
|---|---|
| SPF PermError | Hay dos registros SPF o se ha superado el límite de 10 consultas; fusione los registros y quite los include innecesarios. |
| DKIM FAIL | El registro se copió incompleto o no se inició la firma en el panel. |
| DMARC FAIL, SPF PASS | SPF pasa para otro dominio; añada una firma DKIM alineada con el dominio de From. |
| Los correos del formulario del sitio van a spam | El formulario envía con la función mail() sin autenticar; utilice SMTP autenticado. |
| El registro está en el panel pero no aparece en la consulta | El dominio se escribió dos veces en el campo de nombre (p. ej., _dmarc.ejemplo.com.ejemplo.com). |
Preguntas frecuentes
01¿Hacen falta registros también para un dominio que no envía correo?
Sí, sobre todo contra la suplantación. Añadir a un dominio que no envía ningún correo un registro SPF del tipo v=spf1 -all y un registro DMARC con política p=reject dificulta que los estafadores usen ese dominio.
02He añadido los registros y los correos siguen cayendo en spam. ¿Por qué?
La autenticación es solo una parte de la entrega. También influyen factores como la reputación de la IP desde la que envía, la calidad del contenido, la proporción de destinatarios que marcan los mensajes como spam y el enlace para darse de baja. En los envíos masivos hay que usar una lista con consentimiento y depurarla con regularidad.
03Veo IP que no conozco en los informes DMARC. ¿Qué debo hacer?
Compruebe primero si esas IP pertenecen a un servicio legítimo que había olvidado. Si lo son, añádalas a la configuración de SPF y DKIM; si no, lo más probable es que sean envíos que suplantan su dominio, y es un buen motivo para llevar la política al nivel quarantine o reject.
Cuando SPF, DKIM y DMARC se configuran juntos, sus correos llegan al destinatario y su dominio queda protegido contra la suplantación. Puede conocer las soluciones de Aurora, que abordan la configuración de dominio, correo y servidores junto con su software de negocio, y ponerse en contacto con nosotros a través de la página de contacto para revisar sus registros. Para mejorar la tasa de entrega en las campañas de correo masivo, también puede trabajar con nuestro equipo de marketing digital.
