Qué hace cada registro
SPF es un registro TXT en el dominio que lista los servidores autorizados a enviar su correo. DKIM firma cada mensaje con una clave cuya parte pública se publica en DNS. DMARC, en _dmarc.tudominio, indica qué hacer con el correo que no supera SPF ni DKIM alineados con el remitente visible y a dónde enviar los informes.
| Registro SPF de ejemplo | Consultas DNS de este registro | Mecanismo all |
|---|---|---|
| v=spf1 include:_spf.google.com ~all | 1 | ~all |
| v=spf1 include:spf.protection.outlook.com include:sendgrid.net mx -all | 3 | -all |
| v=spf1 ip4:192.0.2.10 -all | 0 | -all |
Ejemplos calculados; valores redondeados.
Cómo leer los ejemplos
Cada include, a, mx, ptr, exists y redirect cuenta una consulta, y también cuentan las que haya dentro de cada include. Microsoft 365 o SendGrid añaden varias por su cuenta, así que un registro con tres o cuatro servicios puede rozar el límite de 10. Los rangos ip4 e ip6 no consumen consultas. El comprobador SPF y DMARC sigue todos los include y te da el total real.
Por qué importa ahora
Desde 2024, Gmail y Yahoo exigen SPF o DKIM a cualquier remitente, y SPF, DKIM y DMARC a quien envía más de 5000 mensajes al día a sus usuarios. Outlook.com aplica requisitos parecidos desde 2025. Sin estos registros, tu correo legítimo acaba en spam o rechazado, y cualquiera puede suplantar tu dominio con más facilidad.
No hace falta ser una gran empresa para notarlo: facturas, avisos de una tienda online o el correo de un despacho pequeño pueden dejar de llegar si el dominio no está bien configurado.
Paso 1: inventario de lo que envía correo
Antes de tocar el DNS, apunta todo lo que manda correo con tu dominio: el proveedor de correo (Google Workspace, Microsoft 365, IONOS…), la herramienta de boletines, la tienda online, el CRM, la centralita, la impresora que envía escaneos o el servidor de la web que manda formularios.
Cada servicio indica en su ayuda qué include de SPF usar y cómo activar DKIM. Si olvidas uno, sus mensajes fallarán SPF; por eso conviene empezar DMARC en modo observación.
Paso 2: un único registro SPF
Publica un solo registro TXT que empiece por v=spf1 en la raíz del dominio. Si un servicio te pide añadir el suyo, no crees un segundo registro: une su include al existente. Dos registros SPF provocan un error (permerror) y los receptores ignoran ambos.
Termina con ~all mientras compruebas que no falta ningún servicio y pasa a -all cuando estés seguro. Evita +all, que autoriza a todo Internet, y el mecanismo ptr, desaconsejado por lento. Si superas las 10 consultas, sustituye includes por rangos ip4 o ip6 cuando el proveedor los publique, o elimina servicios que ya no uses.
Paso 3: DKIM en cada servicio
DKIM se activa desde el panel de cada servicio, que te da uno o dos registros (TXT o CNAME) para publicar en selector._domainkey.tudominio. Actívalo en todos los que puedas: DMARC se cumple con SPF o con DKIM alineados, y DKIM sigue funcionando aunque el mensaje se reenvíe, cuando SPF suele fallar.
Paso 4: DMARC en modo observación
Publica en _dmarc.tudominio un TXT como v=DMARC1; p=none; rua=mailto:dmarc@tudominio. Con p=none no cambia la entrega, pero los grandes proveedores te enviarán a diario informes agregados en XML con las IP que envían en nombre de tu dominio y si superan SPF y DKIM.
Esos informes son difíciles de leer a mano. Existen servicios que los convierten en gráficos, muchos con un plan gratuito para dominios pequeños. Revisa durante dos a cuatro semanas que todo el correo legítimo aparece como aprobado.
Paso 5: subir a quarantine y reject
Cuando los informes estén limpios, cambia a p=quarantine: el correo que falle irá a spam. Si quieres ir con cuidado, usa pct=25 y súbelo poco a poco hasta 100. Tras otras semanas sin problemas, pasa a p=reject, que hace que el correo suplantado ni siquiera se entregue.
Para dominios que no envían correo, como los aparcados o los que solo tienen web, publica directamente v=spf1 -all y v=DMARC1; p=reject. Así nadie puede usarlos para suplantarte.
Preguntas frecuentes
¿Cuánto tarda en aplicarse un cambio de SPF o DMARC?
Lo que tarde en caducar el TTL del registro anterior, normalmente entre unos minutos y unas horas. Puedes comprobar el valor publicado con la consulta DNS, tipo TXT.
¿Qué significa alineación en DMARC?
Que el dominio del remitente visible coincide con el validado por SPF (el del sobre del mensaje) o con el d= de la firma DKIM. Un SPF correcto de otro dominio no sirve para DMARC.
¿Necesito DMARC si envío poco correo?
Sí es recomendable. Con p=none y rua no afecta a la entrega y te permite ver si alguien suplanta tu dominio. Además, cada vez más receptores lo tienen en cuenta.