De un vistazo. Dónde mirar: encabezado Authentication-Results · SPF permerror: dos registros o más de 10 consultas · DMARC fail: normalmente un problema de alineación · Herramienta: analizador de encabezados gratuito
La versión corta
- Encuentre los resultados de autenticación. Abra un mensaje que haya enviado y consulte su código fuente original o sus encabezados completos.
- Qué significan los resultados de SPF. Pass significa que la IP de envío figura en el registro.
- Qué significan los resultados de DKIM. Pass significa que la firma coincidió con la clave publicada.
- Qué significan los resultados de DMARC. DMARC pasa cuando SPF o DKIM pasan y el dominio que pasó se alinea con el dominio del From.
- Solución: no se encontró registro SPF. Significa que el dominio no tiene un registro TXT de SPF, o que la consulta se hace sobre un nombre distinto del que publicó.
- Solución: clave DKIM no encontrada o no válida. Compruebe el selector en el encabezado DKIM-Signature del mensaje, el valor s=, y confirme que existe un registro TXT en selector._domainkey.sudominio.com.
Encuentre los resultados de autenticación
Abra un mensaje que haya enviado y consulte su código fuente original o sus encabezados completos. Busque un encabezado llamado Authentication-Results, añadido por el servidor receptor. Muestra un resultado para cada comprobación, como spf=pass, dkim=pass y dmarc=pass, junto con el dominio que usó cada una.
Nuestro analizador de encabezados de correo gratuito lee estos encabezados por usted si el texto sin procesar resulta difícil de seguir.
Qué significan los resultados de SPF
Pass significa que la IP de envío figura en el registro. Fail significa que no figura y que el registro indica rechazar. Softfail significa que no figura y que el registro indica tratar el mensaje con sospecha. Neutral y none significan que el registro no afirma nada o que no existe. Temperror es un problema temporal de DNS, y permerror significa que el registro está roto, por ejemplo por tener dos registros o demasiadas consultas.
Si ve permerror, corrija el propio registro. Si ve softfail o fail de un servicio que usa, ese servicio falta en su registro.
Qué significan los resultados de DKIM
Pass significa que la firma coincidió con la clave publicada. Fail significa que no coincidió. Las causas habituales son un mensaje modificado después de firmarse, por ejemplo con un pie de página añadido por otro sistema, un registro DNS copiado de forma incorrecta o un selector que no coincide con el que usó el remitente.
None significa que el mensaje no estaba firmado. Compruebe que DKIM esté activado en el servicio de envío y que su registro DNS esté publicado exactamente con el nombre que se indica.
Qué significan los resultados de DMARC
DMARC pasa cuando SPF o DKIM pasan y el dominio que pasó se alinea con el dominio del From. Por eso puede ver spf=pass y dkim=pass y aun así obtener dmarc=fail, porque los dominios que pasaron pertenecen al servicio y no a usted.
Es el caso que más confusión genera. La solución es autenticar su propio dominio con el servicio de envío, de modo que su firma DKIM y, idealmente, su return path usen su dominio.
Solución: no se encontró registro SPF
Significa que el dominio no tiene un registro TXT de SPF, o que la consulta se hace sobre un nombre distinto del que publicó. Compruebe que el registro está en la raíz del dominio exacto del Return-Path y que no lo puso por error en un subdominio.
Recuerde que el correo puede salir de un subdominio, que entonces necesita su propio registro. Consulte nuestra guía de SPF para saber cómo crear uno.
Solución: clave DKIM no encontrada o no válida
Compruebe el selector en el encabezado DKIM-Signature del mensaje, el valor s=, y confirme que existe un registro TXT en selector._domainkey.sudominio.com. Las claves largas deben pegarse como un único valor. Algunos paneles DNS las dividen o las truncan, así que verifique el registro consultándolo después de publicarlo.
Si cambió de proveedor o rotó claves recientemente, puede que se siga usando un selector antiguo. Publique los registros nuevos y espere a que el DNS se propague antes de activar la firma.
Solución: DMARC falla pero SPF y DKIM pasan
Compare el dominio del encabezado From con los dominios que pasaron. Si difieren, la alineación falla. Configure un dominio personalizado en su servicio de envío para que DKIM firme con su dominio.
Si no está seguro de qué dominios intervienen, los informes agregados de DMARC los enumeran por origen y mostrarán exactamente qué remitentes no están alineados.
Solución: pasa en todo, pero sigue yendo a spam
La autenticación es un requisito, no una garantía. Si todo pasa y el correo sigue llegando a spam, la causa suele ser la reputación, el contenido o la lista: tasas altas de quejas, direcciones compradas, un aumento repentino de volumen o un asunto con aspecto de spam.
Revise sus tasas de quejas y de rebotes, analice a quién envía y reduzca el ritmo si aumentó el volumen recientemente. Nuestras guías de entregabilidad cubren estos pasos.
Un orden de trabajo tranquilo
Empiece por SPF, porque es lo más rápido de corregir. Luego revise DKIM en cada remitente. Después examine la alineación de DMARC. Cambie una sola cosa cada vez y vuelva a probar, para saber qué cambio funcionó.
Si se atasca, envíenos los encabezados del mensaje y el nombre de su dominio y le ayudaremos a descubrir qué comprobación falla y por qué.
Un encabezado de ejemplo
Una línea de resultado típica es: Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=bounce.yourdomain.com; dkim=pass header.d=yourdomain.com; dmarc=pass header.from=yourdomain.com. Cada parte indica el dominio que se comprobó.
Léala de derecha a izquierda. El dominio header.from es el que ve el destinatario. Los dominios dkim header.d y spf smtp.mailfrom son los que usó la comprobación. Si difieren de header.from y no son subdominios de él, espere un fallo de alineación.
Lecturas adicionales y fuentes
- RFC 7208: Sender Policy Framework (SPF)
- RFC 6376: DomainKeys Identified Mail (DKIM) Signatures
- RFC 7489: DMARC
Hágalo en MigoSMTP: artículos del centro de ayuda
- Lea los encabezados de correo para depurar la autenticación
- Corrija SPF permerror y el límite de 10 consultas
- Return-path y dominios de seguimiento personalizados
Guías y herramientas relacionadas
- Analizador de encabezados de correo: lea los resultados de autenticación en lenguaje sencillo.
- Cómo crear un registro SPF: sintaxis, ejemplos y errores comunes.
- Cómo configurar DMARC: empiece con p=none y avance hasta reject con seguridad.
¿No está seguro de que sus registros sean correctos? Use nuestro verificador gratuito o envíenos un encabezado y le ayudaremos a interpretarlo.
Preguntas frecuentes
¿Dónde veo si falló SPF, DKIM o DMARC?
Abra los encabezados completos de un mensaje recibido y busque el encabezado Authentication-Results que añade el servidor receptor. Allí aparecen los resultados de spf, dkim y dmarc.
¿Por qué falla DMARC cuando SPF y DKIM pasan?
Porque DMARC exige alineación: el dominio que superó SPF o DKIM debe coincidir con el dominio del From. Que pase otro dominio distinto no sirve para DMARC.
¿Qué significa SPF permerror?
El registro no pudo evaluarse, normalmente porque el dominio tiene dos registros SPF o porque el registro requiere más de diez consultas DNS.
Mi autenticación pasa, pero el correo sigue yendo a spam. ¿Por qué?
La autenticación es un requisito, no una garantía. También influyen la reputación, la calidad de la lista, el contenido y la interacción.