netlupaComprobar SPF, DKIM y DMARC
Escribe tu dominio para revisar los tres registros que deciden si tu correo llega a la bandeja de entrada o acaba en spam.
Cómo comprobar la autenticación de tu correo
Escribe el dominio desde el que envías correo (la parte de después de la @).
Si sabes tu selector DKIM, escríbelo; si no, déjalo vacío y probaremos los de los proveedores más comunes.
Revisa los tres bloques: cada aviso explica qué falla y cómo corregirlo en el DNS de tu dominio.
SPF, DKIM y DMARC en dos minutos
El correo electrónico no comprueba por sí solo quién lo envía: cualquiera puede escribir lo que quiera en el remitente. Para evitar la suplantación (phishing) y el spam, los servidores de correo consultan tres registros TXT del dominio:
- SPF: la lista de servidores autorizados a enviar correo del dominio.
- DKIM: una firma criptográfica en cada mensaje, que se comprueba con una clave pública publicada en el DNS.
- DMARC: la política que une los dos anteriores. Dice qué hacer cuando un correo no supera ni SPF ni DKIM alineados con el remitente (dejarlo pasar, mandarlo a spam o rechazarlo) y adónde enviar los informes.
Sin los tres, tus correos tienen muchas más papeletas de acabar en la carpeta de spam, y cualquiera puede enviar correos falsos en tu nombre.
Por qué ahora son obligatorios
Desde 2024, Gmail y Yahoo exigen SPF, DKIM y DMARC a quien envía más de 5.000 correos al día a sus usuarios, y Microsoft aplica las mismas reglas en Outlook.com desde 2025. Para remitentes pequeños no son obligatorios en sentido estricto, pero sin ellos la reputación del dominio cae y los filtros son mucho más duros.
Además, DMARC con política «quarantine» o «reject» es requisito para mostrar tu logotipo junto a tus correos (BIMI) y lo piden cada vez más las auditorías de seguridad y los seguros de ciberriesgo.
Errores más comunes
- Dos registros SPF: al añadir un proveedor nuevo se crea otro registro en lugar de añadir un include al existente. Con dos, el SPF falla entero.
- Más de 10 consultas DNS: cada include, a, mx o exists cuenta, también los que hay dentro de los include. Con muchos proveedores se supera el límite sin darse cuenta.
- «+all» al final: autoriza a todo el mundo y anula el SPF.
- DMARC en «p=none» para siempre: es el modo de observación, útil al principio, pero no protege.
- DKIM no activado en el proveedor: muchos (Google Workspace, Microsoft 365) requieren activarlo a mano y publicar la clave.
- Claves DKIM de 1024 bits: aún funcionan, pero conviene rotarlas a 2048.
Cómo llegar a DMARC «reject» sin perder correo
El orden seguro es este:
- Publica SPF con todos tus servicios de envío (tu correo, la web, el CRM, la herramienta de boletines) terminado en «~all».
- Activa DKIM en cada servicio que envíe en tu nombre.
- Publica DMARC con «p=none» y una dirección rua para recibir informes.
- Durante unas semanas, revisa los informes y añade a SPF o DKIM los servicios legítimos que fallen.
- Pasa a «p=quarantine» (puedes empezar con pct=25 e ir subiendo) y, cuando todo esté limpio, a «p=reject».
Vuelve a esta herramienta después de cada cambio para comprobar que los registros siguen siendo válidos.
Cada registro, en detalle
Preguntas frecuentes
¿Cuál es mi selector DKIM?
Abre un correo que hayas enviado, mira su código fuente o cabeceras originales y busca DKIM-Signature: el valor de «s=» es el selector y el de «d=» el dominio. Google Workspace suele usar «google» y Microsoft 365 «selector1» y «selector2».
¿Es mejor «~all» o «-all»?
Con DMARC en marcha, la diferencia práctica es pequeña, porque decide la política DMARC. «-all» es más estricto; «~all» es más tolerante con reenvíos y servicios olvidados. Si no tienes DMARC, «-all» protege más.
He cambiado el DNS y la herramienta no lo ve, ¿por qué?
Los registros DNS se guardan en caché el tiempo que indica su TTL (a menudo una hora). Espera ese tiempo y vuelve a comprobarlo. Comprueba también que el registro está en el dominio correcto (por ejemplo, _dmarc.tudominio.com para DMARC).
¿Necesito SPF y DMARC en un dominio que no envía correo?
Sí, y es muy recomendable: publica «v=spf1 -all» y «v=DMARC1; p=reject;» para que nadie pueda usar ese dominio para enviar correos falsos.
¿Guardáis los dominios que compruebo?
No. Consultamos el DNS público en el momento, con nuestro propio resolvedor, y no guardamos ni el dominio ni el resultado.