Si la entregabilidad tiene una base, es esta. SPF, DKIM y DMARC son tres registros que publicas para tu dominio de envío y juntos responden a la pregunta de todo servidor destinatario: ¿este mensaje procede realmente de quien afirma enviarlo? Configúralos bien para crear confianza con Gmail y Outlook. Omítelos o configúralos mal y hasta el correo legítimo se tratará con sospecha.
El tema parece intimidante por las siglas y la jerga de DNS, pero no tiene por qué serlo. Cada registro cumple una función. Esta guía explica los tres en lenguaje sencillo y muestra cómo encajan para que puedas configurarlos con confianza antes de aumentar envíos reales.
Por qué existe la autenticación
El correo se diseñó en una época más confiada, cuando cualquiera podía afirmar ser otra persona. Esa apertura facilitó el spam y el phishing. La autenticación se añadió para solucionarlo. Los tres registros permiten al destinatario comprobar de distintas formas que el mensaje procede del dominio mostrado y no fue falsificado ni alterado. Los proveedores se apoyan mucho en estas comprobaciones para decidir entre bandeja y spam; son requisitos básicos.
SPF: quién puede enviar
SPF, o Sender Policy Framework, es una lista. Publicas en el dominio un registro que identifica qué servidores pueden enviar correo en tu nombre. Al recibir un mensaje de tu dominio, el servidor comprueba si el origen figura en la lista aprobada. Si aparece, supera SPF. Si no, surge una señal de alerta.
Piensa en una lista de invitados a la entrada. Si el remitente no figura, el servidor tiene motivos para desconfiar. Un error habitual es olvidar un servicio que realmente utilizas, haciendo que tu propio correo legítimo falle. Si envías mediante una plataforma de marketing o prospección, sus servidores deben estar incluidos en SPF.
DKIM: prueba de que el mensaje no fue alterado
DKIM, o DomainKeys Identified Mail, añade una firma criptográfica a cada mensaje. Tu dominio guarda una clave privada y publica la clave pública correspondiente en DNS. Al llegar el mensaje, el servidor usa la clave pública para verificar la firma. Si es válida, demuestra que el mensaje vino del dominio y no cambió durante el trayecto.
Si SPF es una lista de invitados, DKIM es un sello que evidencia manipulaciones. Es más difícil de falsificar y no suele romperse al reenviar un mensaje como puede ocurrir con SPF. La mayoría de proveedores y servicios generan las claves e indican exactamente qué registro publicar, por lo que configurarlo suele consistir en añadir una entrada DNS.
| Registro | Qué comprueba | Analogía |
|---|---|---|
| SPF | ¿Está autorizado el servidor de envío? | Lista de invitados en la puerta |
| DKIM | ¿Se falsificó o alteró el mensaje? | Sello que evidencia manipulaciones |
| DMARC | Qué hacer si falla y cómo informar | Las normas de la casa y el libro de registro |
DMARC: la política que lo une todo
SPF y DKIM realizan comprobaciones, pero por sí solos no dicen qué hacer cuando fallan ni te avisan cuando alguien falsifica tu dominio. DMARC cubre ambas carencias. Permite publicar una política que determina cómo tratar un mensaje que dice proceder del dominio y falla: permitirlo, ponerlo en cuarentena o rechazarlo.
DMARC también ofrece informes. Una vez configurado, recibes datos sobre quién envía usando tu dominio, incluidos posibles suplantadores. Esa visibilidad revela problemas en tu propio correo e intentos de abusar de la marca. Muchos remitentes empiezan solo supervisando, revisan informes, corrigen problemas y endurecen la política gradualmente hasta el rechazo.
Empieza DMARC con cuidado
No saltes directamente a una política de rechazo. Empieza en modo de supervisión para revisar informes y detectar correo legítimo que se bloquearía. Endurece la política paso a paso cuando los datos estén limpios.
Cómo trabajan juntos los tres
Este es el flujo completo. El mensaje sale del servicio. El servidor destinatario consulta SPF para saber si está autorizado, verifica DKIM para confirmar firma e integridad y después consulta DMARC para decidir qué hacer y registrar un informe. Cuando los tres se alinean, el mensaje presenta señales fuertes de legitimidad y tiene más posibilidades de llegar a la bandeja.
Por eso la autenticación y la salud de la cuenta van unidas. Incluso un correo perfectamente autenticado puede filtrarse si la cuenta se comporta mal; el calentamiento y evitar conductas que bloquean cuentas siguen siendo necesarios. La autenticación abre la puerta y el buen comportamiento conserva la confianza.
Lista de configuración
- 1Publica un SPF que incluya todos los servicios que envían en tu nombre
- 2Activa DKIM mediante el proveedor o servicio y publica la clave pública
- 3Añade DMARC en modo de supervisión para empezar a recopilar informes
- 4Revisa los informes y corrige el correo legítimo que falle
- 5Mueve gradualmente DMARC desde supervisión a cuarentena y después rechazo
- 6Vuelve a comprobar los registros cada vez que añadas una herramienta de envío
Dominios propios, no buzones gratuitos
SPF, DKIM y DMARC se aplican a dominios que controlas. Si envías desde un dominio propio para prospección, configura los tres antes de aumentar volumen. Los proveedores gratuitos gestionan su autenticación; al usar tu dominio, los registros son tu responsabilidad.