SPF, DKIM y DMARC: cómo configurarlos en tu dominio paso a paso

SPF, DKIM y DMARC son tres registros de tu dominio que dicen a los servidores de correo quién puede enviar mensajes en tu nombre. Sin ellos, cualquiera puede mandar un correo que parezca tuyo, y los tuyos tienen más probabilidades de acabar en spam. En nuestro estudio de negocios de Huelva, el 78 % de los dominios se podía suplantar. Se arregla en una tarde, gratis, y esto es lo que hay que hacer.

Qué es cada uno, en una frase

• SPF: la lista de servidores autorizados a enviar correo de tu dominio.
• DKIM: una firma digital en cada correo que prueba que no ha sido alterado y viene de ti.
• DMARC: la regla que dice qué hacer con lo que no pasa SPF ni DKIM (nada, a spam o rechazar) y a dónde mandar los informes.

Antes de empezar: averigua desde dónde envías correo

Todo lo que envíe correo con tu dominio tiene que quedar autorizado: tu proveedor de correo (Google Workspace, Microsoft 365, el de tu hosting), tu herramienta de newsletter, la tienda online, el programa de facturación. Si te dejas uno, sus correos empezarán a fallar. Haz la lista antes de tocar nada.

Paso 1: SPF

Es un registro de tipo TXT en el DNS de tu dominio. Solo puede haber uno. Ejemplos habituales:

• Google Workspace: v=spf1 include:_spf.google.com ~all
• Microsoft 365: v=spf1 include:spf.protection.outlook.com ~all
• Si usas varios servicios, se suman: v=spf1 include:_spf.google.com include:servidor-de-tu-newsletter ~all

El ~all al final marca como sospechoso lo que no esté en la lista. Pide a cada servicio que uses el «include» exacto que te dan (viene en su ayuda).

Paso 2: DKIM

Se genera en el panel de tu proveedor de correo (en Google Workspace: Administración → Aplicaciones → Gmail → Autenticar el correo; en Microsoft 365: el portal de Defender). Te da un nombre y un valor que tienes que crear como registro TXT (o CNAME) en tu DNS y después pulsar «Activar». Repite con cada servicio que envíe con tu dominio.

Paso 3: DMARC, por fases

Es otro registro TXT, en el nombre _dmarc.tudominio.es. Empieza en modo vigilancia para no romper nada:

v=DMARC1; p=none; rua=mailto:dmarc@tudominio.es

Con p=none no se bloquea nada y recibes informes (a la dirección rua) de quién envía correo en tu nombre. Revisa esos informes dos o tres semanas: verás servicios que se te habían olvidado. Cuando todo lo legítimo pase, sube a p=quarantine (a spam) y, tras otras semanas sin problemas, a p=reject (rechazar). Es el paso que realmente impide que te suplanten: un p=none «no protege nada», solo vigila.

Cómo comprobar que funciona

1. Usa el comprobador gratuito de SPF y DMARC: te dice qué tienes y qué falla.
2. Envía un correo a una cuenta de Gmail, abre el mensaje, «Mostrar original»: verás SPF: PASS, DKIM: PASS y DMARC: PASS.
3. Revisa los informes DMARC de las primeras semanas antes de subir la política.

Errores típicos

• Dos registros SPF: invalida los dos. Debe haber uno solo con todos los «include».
• Pasar directamente a p=reject: puede hacer que tu propia newsletter o facturas no lleguen.
• Olvidar un servicio: la tienda online o el programa de facturas son los clásicos.

Si prefieres que lo hagamos nosotros (con las pruebas hechas y sin que se pierda ningún correo), es parte de la auditoría de seguridad exprés, y para no perder el hilo después está la vigilancia semanal de tu correo y tu web.