Introduzca un dominio para comprobar sus registros SPF, DKIM y DMARC de una vez, con soluciones en lenguaje claro para lo que falle.
Esto comprueba los registros tal como están publicados ahora mismo en DNS. No comprueba si un mensaje concreto pasó. Para verlo, abra los encabezados del mensaje y lea la línea Authentication-Results. Los cambios recientes pueden tardar en aparecer por la caché de DNS.
SPF indica qué servidores pueden enviar en nombre de un dominio. DKIM añade a cada mensaje una firma criptográfica para que el receptor compruebe que no fue alterado y que procede realmente de quien posee la clave de firma. DMARC los une: indica a los receptores que el dominio de la dirección From visible debe coincidir con el dominio que validó SPF o DKIM, y qué hacer cuando no es así.
Un mensaje pasa DMARC si SPF o DKIM pasan y están alineados con el dominio From. Configurar ambos es la opción más robusta, porque el reenvío rompe SPF y algunos servicios vuelven a firmar o modifican los mensajes de maneras que afectan a DKIM.
Todo procede de DNS público, así que puede ejecutarlo en cualquier dominio.
Las claves DKIM se publican bajo un nombre que usted elige, llamado selector. DNS no puede listarlas, así que la comprobación solo encuentra una clave si conoce el selector. La fuente fiable es un mensaje real: abra los encabezados, busque la línea DKIM-Signature y lea el valor s= (y d= para el dominio firmante). Su servicio de envío también le mostrará el selector al configurar el dominio.
Si nuestra comprobación no encuentra ninguno de los nombres habituales, eso no significa que falte DKIM. Significa que el selector es otro. Introdúzcalo y vuelva a ejecutar la comprobación.
Un registro DMARC con p=none y sin dirección rua no monitoriza nada. Si solo corrige una cosa, añada una dirección de informes.
| Política | Efecto en el correo que falla | Etapa típica |
|---|---|---|
| p=none | Se entrega con normalidad. Los informes se envían a su dirección rua. | Empiece aquí y vigile los informes. |
| p=quarantine | Los receptores deben tratarlo como sospechoso, normalmente en la carpeta de spam. | Mientras termina de corregir remitentes. Suba pct por pasos. |
| p=reject | Los receptores deben rechazarlo. | El estado final cuando todos los remitentes legítimos pasan. |
La comprobación lee el tamaño de la clave de la clave pública publicada. Hoy se recomiendan claves RSA de 2048 bits; las de 1024 bits aún funcionan con la mayoría de receptores pero son más débiles, y las más cortas se consideran inseguras. Publicar una clave de 2048 bits hace que el registro TXT supere los 255 caracteres, por lo que debe almacenarse en más de una cadena; la mayoría de los paneles DNS lo hacen por usted.
Google y Yahoo empezaron a exigir autenticación a los remitentes masivos en 2024: se espera que quienes envían grandes volúmenes tengan SPF y DKIM y un registro DMARC, mantengan bajas las tasas de quejas de spam y admitan la baja sencilla. Microsoft anunció requisitos comparables para Outlook.com. Los umbrales exactos y su aplicación los fija cada proveedor y han cambiado con el tiempo, así que consulte sus directrices vigentes para remitentes en lugar de fiarse de una cifra citada aquí.
Corrija primero SPF (un solo registro, menos de diez consultas), después publique la clave DKIM que le da su servicio de envío y luego añada DMARC con p=none. Nuestra guía para corregir fallos de SPF, DKIM y DMARC repasa cada mensaje de error. Recuerde que los cambios de DNS tardan en propagarse, así que vuelva a probar cuando haya pasado el time-to-live del registro anterior.
Encuentra el registro, cuenta las consultas DNS frente al límite de 10 y señala registros duplicados, sintaxis incorrecta y ajustes arriesgados.
Busca la clave pública de su selector, lee su longitud y señala claves revocadas, ilegibles o cortas y el modo de prueba.
Lee la política, las direcciones de informes y el porcentaje, y señala etiquetas no válidas, varios registros y la ausencia de política.
Cada problema incluye una solución en lenguaje claro, y las guías de abajo cubren la configuración completa.
Lee los registros DNS públicos de su dominio: el registro SPF, el registro DMARC en _dmarc.sudominio y la clave pública DKIM en selector._domainkey.sudominio. Le indica si cada uno existe, es válido y tiene problemas habituales.
Un selector es el nombre que su servicio de envío eligió para su clave DKIM, de modo que un dominio puede tener varias claves. Puede encontrarlo en el valor s= del encabezado DKIM-Signature de cualquier mensaje que haya enviado, o en los ajustes de dominio de su servicio de envío. Introdúzcalo para comprobar esa clave exacta.
Sin un selector solo podemos probar una lista corta de nombres habituales, y cada servicio elige el suyo. Un "no encontrado" en esos nombres no prueba que falte DKIM. Introduzca su selector para obtener una respuesta definitiva.
p=none es el modo de monitorización. Los receptores no actúan sobre el correo que falla DMARC, pero envían informes a la dirección de rua. Es el punto de partida recomendado; cuando los informes muestren que todos los remitentes legítimos pasan, puede avanzar a quarantine y después a reject.
No. Estos registros muestran que su dominio está configurado para autenticarse. La colocación en la bandeja de entrada depende también de la reputación del remitente, la calidad de la lista, las tasas de quejas y el contenido. Para ver si un mensaje pasó, lea su encabezado Authentication-Results.
Las consultas se ejecutan en nuestros servidores y los resultados se conservan unos cinco minutos para que las comprobaciones repetidas no repitan las consultas DNS. Las comprobaciones no se asocian a una cuenta, y la herramienta tiene límite de velocidad para proteger los servidores DNS que consulta.
Siga la guía paso a paso para publicar SPF, DKIM y DMARC en su dominio de envío.
Crea una cuenta, añade tu dominio y envía tu primer correo.