¿Necesito SPF, DKIM y DMARC?

Si envías a cualquier escala, sí. Gmail y Yahoo esperan autenticación, y los tres registros juntos permiten a los receptores verificar que el correo realmente procede de ti.

¿En qué orden se configuran?

Empieza con SPF y DKIM para cada remitente, publica después DMARC en p=none, lee los informes, corrige los fallos y endurece la política por etapas.

¿Qué es la alineación DMARC?

El dominio que superó SPF o DKIM debe coincidir con el dominio de la cabecera From. Sin alineación, DMARC falla aunque SPF y DKIM se superen.

¿Cómo compruebo mis registros?

Usa nuestro verificador de SPF, DKIM y DMARC, y luego envía un mensaje de prueba y lee la cabecera Authentication-Results.

Guía de configuración de DKIM, SPF y DMARC

De un vistazo. Tiempo necesario: unos 30 minutos, más la espera del DNS · Necesitarás: acceso a tu proveedor de DNS

Versión resumida

Por qué tres registros. SPF, DKIM y DMARC responden cada uno a una pregunta distinta.
SPF: enumera quién puede enviar. SPF es un registro TXT en tu dominio que enumera los servidores autorizados a enviar su correo.
DKIM: firma cada mensaje. DKIM añade una firma criptográfica a cada mensaje.
DMARC: define la política. DMARC une los otros dos.
La alineación en palabras sencillas. DMARC se supera cuando SPF o DKIM pasan y el dominio comprobado coincide con el dominio de tu dirección From.
Verifica y monitoriza. Envía un mensaje de prueba a un buzón que controles y lee los resultados de autenticación en las cabeceras de la copia recibida.

Por qué tres registros

SPF, DKIM y DMARC responden cada uno a una pregunta distinta. SPF pregunta si el servidor emisor está autorizado a enviar en nombre del dominio. DKIM pregunta si el mensaje fue firmado por el dominio y no se alteró por el camino. DMARC pregunta qué debe hacer el receptor cuando esas comprobaciones fallan, y te informa de ello.

Los proveedores de buzones esperan ahora los tres, sobre todo de los remitentes de gran volumen. Publicarlos también protege tu propio dominio frente a suplantaciones en intentos de phishing.

SPF: enumera quién puede enviar

SPF es un registro TXT en tu dominio que enumera los servidores autorizados a enviar su correo. Publica un solo registro SPF por dominio e incluye en él el valor que aparece en tu panel de MigoSMTP. El ~all final marca a los demás remitentes como sospechosos; algunos equipos pasan más adelante a -all cuando están seguros de haber incluido a todos los remitentes legítimos.

v=spf1 include:YOUR_SPF_HOST ~all

Mantén el registro por debajo de diez consultas DNS. Cada include cuenta para el límite, así que elimina los proveedores que ya no uses. Tener dos registros SPF separados en un mismo dominio es un error y hace que SPF falle.

DKIM: firma cada mensaje

DKIM añade una firma criptográfica a cada mensaje. El receptor la comprueba con una clave pública que publicas en el DNS bajo un nombre de selector. MigoSMTP te da los registros exactos que debes añadir, normalmente uno o más registros CNAME o TXT.

SELECTOR._domainkey.example.com  CNAME  YOUR_DKIM_TARGET

Añade los registros exactamente como aparecen en tu panel y luego verifica. Usa un selector distinto para cada servicio de envío, de modo que puedas rotar o eliminar uno sin tocar los demás.

DMARC: define la política

DMARC une los otros dos. Indica a los receptores qué hacer cuando un mensaje no supera la alineación de SPF ni de DKIM con tu dominio From visible, y adónde enviar los informes al respecto.

_dmarc.example.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Empieza en p=none con los informes activados, lee los informes para encontrar a todos los remitentes legítimos, corrige las carencias y pasa luego a quarantine y, por último, a reject. Ir directamente a reject puede bloquear tu propio correo legítimo.

La alineación en palabras sencillas

DMARC se supera cuando SPF o DKIM pasan y el dominio comprobado coincide con el dominio de tu dirección From. En DKIM, es el dominio de la firma. En SPF, es el dominio del remitente del sobre, no la dirección From.

Por eso enviar desde tu propio dominio, con DKIM firmado para ese dominio, es más robusto que depender de un dominio compartido. Si tus comprobaciones DMARC fallan aunque SPF y DKIM pasen, la causa habitual es la alineación.

Verifica y monitoriza

Envía un mensaje de prueba a un buzón que controles y lee los resultados de autenticación en las cabeceras de la copia recibida. Deberías ver spf=pass, dkim=pass y dmarc=pass. También puedes consultar tus registros directamente.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short CNAME SELECTOR._domainkey.example.com

Sigue monitorizando. Los cambios de DNS hechos para otras herramientas pueden romper tus registros sin previo aviso, y con el tiempo aparecen nuevos remitentes. Revisa los informes DMARC con regularidad.

Errores comunes

Publicar dos registros SPF, superar las diez consultas DNS, añadir el registro DMARC en el nombre de host equivocado, dejar que tu proveedor de DNS divida o altere valores TXT largos y olvidar los subdominios que también envían correo.

Si la verificación falla, ejecuta el verificador de autenticación sobre el dominio para ver lo que ve el resto de internet, y espera a que los cambios de DNS se propaguen antes de reintentarlo.

Lecturas adicionales y fuentes

Hazlo en MigoSMTP: artículos del centro de ayuda

Guías y herramientas relacionadas

Guía de calentamiento: aumenta el volumen de una IP nueva con seguridad.
Guía de proveedores de buzones: qué comprueba cada proveedor.
Generador de DMARC: crea tu registro.

¿No estás seguro de que tus registros sean correctos? Ejecuta nuestro verificador gratuito o envíanos una cabecera y te ayudaremos a interpretarla.

Empieza gratis

DKIM, SPF y DMARC: guía completa de configuración