SPF, DKIM y DMARC explicados fácil: que tus correos no lleguen a spam
Qué es SPF, DKIM y DMARC, explicado fácil: para qué sirve cada uno, cómo configurarlos en tu dominio, cómo revisarlos y por qué tus correos llegan a spam.
Envías una cotización a un cliente y nunca te responde. Días después te enteras de que tu correo le llegó a la carpeta de spam. O peor: alguien envió correos haciéndose pasar por tu negocio. Detrás de los dos problemas suele estar lo mismo: tu dominio no tiene bien configurados SPF, DKIM y DMARC.
Suenan a siglas técnicas, pero la idea es sencilla. En esta guía te explicamos qué es SPF, DKIM y DMARC, para qué sirve cada uno, cómo configurarlos y cómo revisar si ya los tienes.
La idea en una frase
Los tres son registros que se agregan en el DNS de tu dominio para que los servidores de correo del mundo puedan comprobar que un correo que dice venir de tu dominio de verdad salió de ti.
Una comparación sencilla:
- SPF es la lista de invitados: qué servidores pueden enviar correos en nombre de tu dominio.
- DKIM es el sello en el sobre: una firma digital que demuestra que el correo no fue alterado y que salió de tu dominio.
- DMARC son las instrucciones para el portero: qué hacer con los correos que no pasan las dos pruebas anteriores, y a quién avisarle.
SPF: quién puede enviar correos en tu nombre
SPF es un registro de texto (TXT) en tu DNS que lista los servidores autorizados. Se ve parecido a esto:
v=spf1 include:_spf.google.com ~all
Ese ejemplo dice: "pueden enviar correos de este dominio los servidores de Google; los demás, trátalos con sospecha". El valor exacto te lo da tu proveedor de correo.
Errores comunes con SPF:
- Tener dos registros SPF. Solo puede haber uno. Si usas varios servicios, todos van en el mismo registro.
- Olvidar servicios que envían en tu nombre, como tu sistema de facturación electrónica, tu tienda online o tu herramienta de boletines.
- Pasarse del límite: SPF admite un máximo de 10 consultas. Con demasiados servicios incluidos, deja de funcionar.
DKIM: la firma digital de tus correos
DKIM agrega una firma invisible a cada correo que envías. El servidor que lo recibe la comprueba con una clave pública que publicas en tu DNS. Si la firma coincide, sabe que el correo salió de tu dominio y no fue modificado en el camino.
Se configura en dos pasos:
- Activas DKIM en tu servicio de correo, que genera la clave.
- Copias el registro que te da en el DNS de tu dominio.
Cada servicio que envía correos en tu nombre debería tener su propio DKIM.
DMARC: qué hacer con los correos falsos
DMARC le dice al mundo qué hacer cuando un correo que dice venir de tu dominio no pasa SPF ni DKIM. También te envía reportes de quién está enviando correos con tu nombre. Se ve así:
v=DMARC1; p=none; rua=mailto:[email protected]
La parte importante es la política, p=:
| Política | Qué hace | Cuándo usarla |
|---|---|---|
p=none | No bloquea nada, solo te envía reportes | Al empezar, para ver qué está pasando |
p=quarantine | Manda los correos falsos a spam | Cuando ya verificaste que tus correos legítimos pasan |
p=reject | Rechaza los correos falsos | La protección máxima, cuando todo está en orden |
Lo recomendable: empezar con p=none, revisar los reportes unas semanas y luego subir a quarantine y después a reject.
¿Es obligatorio?
Cada vez más. Desde 2024, Gmail y Yahoo exigen que quien envía correos a sus usuarios tenga al menos SPF o DKIM, y que quien envía grandes volúmenes tenga los tres, incluido DMARC. Sin ellos, tus correos tienen muchas más probabilidades de terminar en spam o de ser rechazados.
Pero más allá de la obligación, es lo que impide que alguien se haga pasar por tu negocio. Te contamos cómo detectar esos engaños en cómo identificar un dominio falso.
Cómo revisar si ya los tienes
- En Gmail: abre un correo que te hayas enviado, toca los tres puntos y elige Mostrar original. Verás si SPF, DKIM y DMARC dicen PASS.
- Con herramientas gratuitas: MXToolbox permite revisar los registros SPF, DKIM y DMARC de tu dominio y te dice si hay errores.
Por qué mis correos llegan a spam: otras causas
Si SPF, DKIM y DMARC están bien y aun así llegas a spam, revisa:
- Que tu dominio o tu servidor no estén en listas negras.
- El contenido: demasiados enlaces, mayúsculas, palabras como "gratis" o "urgente", o solo una imagen sin texto.
- El volumen: enviar cientos de correos de golpe desde una cuenta normal.
- Las respuestas: si nadie abre ni responde tus correos, los filtros te ven con sospecha.
Preguntas frecuentes
¿Qué es SPF, DKIM y DMARC?
Son tres registros en el DNS de tu dominio que confirman qué servidores pueden enviar correos en tu nombre, firman tus mensajes y dicen qué hacer con los correos falsos.
¿Necesito los tres?
Sí. Cada uno cubre una parte distinta, y juntos son la forma más efectiva de proteger tu dominio y de que tus correos lleguen a la bandeja de entrada.
¿Dónde se configuran?
En el DNS de tu dominio, que suele estar en tu registrador, en tu proveedor de alojamiento o en un servicio como Cloudflare. Los valores exactos te los da tu proveedor de correo.
¿Configurarlos puede dañar mi correo?
Si se hace con cuidado, no. Por eso se recomienda empezar DMARC con p=none, que no bloquea nada mientras revisas.
¿Por qué mis correos llegan a spam si ya tengo correo corporativo?
Tener correo con tu dominio no basta: hay que configurar SPF, DKIM y DMARC. Lo explicamos en correo corporativo.
Conclusión
SPF dice quién puede enviar, DKIM firma cada correo y DMARC dice qué hacer con los falsos. Configurarlos toma poco tiempo y te da dos cosas que valen mucho: que tus correos lleguen y que nadie pueda usar tu nombre para engañar a tus clientes.
Si quieres que dejemos tu dominio y tu correo bien configurados, escríbenos o revisa nuestros planes.
Estrategia, diseño y desarrollo web para negocios en Colombia. Conoce al equipo o escríbenos si quieres ayuda con tu sitio.
