SPF, DKIM y DMARC para pymes: cómo evitar que los correos de tu empresa acaben en spam
Si los presupuestos, facturas o newsletters de tu empresa llegan a la carpeta de spam, lo más probable es que tu dominio no esté autenticado. SPF, DKIM y DMARC son tres registros DNS que demuestran a Gmail, Outlook y otros proveedores que el correo lo envías tú y no un suplantador. Configurarlos lleva menos de una hora.
- SPF indica qué servidores pueden enviar correo en nombre de tu dominio.
- DKIM firma cada mensaje con una clave criptográfica para probar que no se ha alterado.
- DMARC define qué hacer con los correos que fallan y te envía informes.
Qué exigen los grandes proveedores de correo
Google endureció sus normas hace tiempo: a partir del 1 de febrero de 2024, los remitentes de correo que envíen más de 5000 mensajes al día a cuentas de Gmail deberán cumplir requisitos específicos, entre ellos configurar la autenticación de correo mediante DMARC en tu dominio de envío, aunque puedes asignar el valor none a tu política. Para los remitentes pequeños el mínimo es configurar la autenticación de correo mediante SPF o DKIM en tu dominio. Además, el dominio del encabezado “From:” del remitente debe coincidir con el dominio de SPF o con el de DKIM; este paso es necesario para superar la concordancia de DMARC. Una pyme rara vez envía 5000 correos diarios, pero los filtros antispam puntúan igual a todos: sin autenticación, la reputación de tu dominio parte con desventaja.
Cómo configurarlo paso a paso
Todo se hace en el panel DNS del proveedor donde tienes registrado el dominio. Antes de tocar nada, anota todas las herramientas que envían correo en tu nombre: el servidor de tu web, Google Workspace o Microsoft 365, la plataforma de newsletters, el CRM y el programa de facturación.
1. SPF. Crea un registro TXT en la raíz del dominio que incluya cada servicio autorizado, por ejemplo v=spf1 include:_spf.google.com include:tu-plataforma-newsletter ~all. Solo puede existir un registro SPF por dominio; si ya tienes uno, amplíalo en lugar de añadir otro.
2. DKIM. Cada plataforma de envío genera su propia clave pública. Activa DKIM en la consola de cada servicio y copia el registro TXT (o CNAME) que te proporciona en tu DNS con el selector indicado.
3. DMARC. Añade un registro TXT en _dmarc.tudominio.es con v=DMARC1; p=none; rua=mailto:informes@tudominio.es. Con p=none no bloqueas nada; solo recibes informes para ver quién envía en tu nombre.
4. Verifica y endurece. Envíate un correo a Gmail y revisa en «Mostrar original» que SPF, DKIM y DMARC aparezcan como PASS. Tras unas semanas de informes limpios, pasa a p=quarantine y, más adelante, a p=reject.
Ejemplo real: una asesoría que envía facturas desde su ERP y comunicaciones desde Microsoft 365 necesita dos include en SPF, dos claves DKIM distintas y un único DMARC. Si olvida el ERP, sus facturas fallarán la verificación aunque el resto funcione.
Límites y errores habituales
SPF admite un máximo de diez consultas DNS; si acumulas muchos servicios, el registro deja de validar sin avisar. Los cambios en DNS pueden tardar horas en propagarse, así que no hagas pruebas inmediatas. Pasar directamente a p=reject sin analizar informes suele bloquear envíos legítimos de herramientas olvidadas. Y la autenticación no arregla un contenido pobre: los mensajes de marketing y los de suscripción deben permitir la opción de darse de baja con un clic e incluir un enlace claramente visible en el cuerpo del mensaje. Si en tu empresa automatizáis envíos desde varias plataformas, revisar esta configuración es el primer paso de cualquier proyecto de automatización empresarial o de diseño web con formularios que envían correo.
Preguntas frecuentes
¿Necesito DMARC si envío pocos correos?
No es obligatorio para volúmenes bajos, pero es muy recomendable: protege tu marca frente a suplantaciones y mejora la puntuación en los filtros antispam. Con política none no tiene riesgo alguno.
¿Puedo tener dos registros SPF?
No. Un dominio solo debe tener un registro SPF. Si necesitas autorizar varios servicios, añade varios include dentro del mismo registro.
¿Cómo sé si mi dominio ya está configurado?
Envía un correo a una cuenta de Gmail, abre el mensaje y elige «Mostrar original». Verás el resultado de SPF, DKIM y DMARC. También puedes consultar los registros TXT de tu dominio con cualquier herramienta de consulta DNS.
¿Qué pasa con los formularios de contacto de mi web?
Si el servidor web envía correos con tu dominio en el remitente, debe estar incluido en SPF y firmar con DKIM. Lo habitual es enviar esos avisos a través de un servicio SMTP autenticado en lugar de la función de correo del hosting.