SPF, DKIM y DMARC son tres registros que se configuran en el DNS de un dominio para demostrarle a Gmail, Outlook y otros proveedores que los correos enviados desde ese dominio son legítimos. Sin estos tres registros correctamente configurados, es muy probable que tus emails terminen en la carpeta de spam o directamente sean rechazados, sin importar cuán bueno sea el contenido del mensaje.
Qué es SPF (Sender Policy Framework)
El registro SPF es una lista publicada en el DNS que indica qué servidores están autorizados a enviar correos en nombre de tu dominio. Cuando un servidor destino recibe un email, consulta este registro para verificar que el mensaje realmente provenga de una IP autorizada. Si no coincide, el mensaje puede marcarse como sospechoso.
- Se configura como un registro TXT en el DNS del dominio.
- Solo puede existir un registro SPF por dominio (aunque puede incluir varios servidores).
- Es fundamental actualizarlo cada vez que se suma un nuevo servicio de envío (por ejemplo, una plataforma de mailing).
Qué es DKIM (DomainKeys Identified Mail)
DKIM agrega una firma digital criptográfica a cada correo saliente, generada con una clave privada del servidor. El servidor destino verifica esa firma usando una clave pública publicada en el DNS. Si la firma es válida, se confirma que el contenido del mensaje no fue alterado en el camino y que realmente salió del servidor autorizado.
- Se implementa mediante un par de claves (pública y privada) y un registro TXT específico.
- Protege contra la manipulación del contenido del correo en tránsito.
- Es exigido, junto con SPF y DMARC, por las políticas de remitentes masivos de Gmail y Yahoo desde 2024.
Qué es DMARC y por qué combina a los otros dos
DMARC le indica al servidor destino qué hacer con un correo que falla las verificaciones de SPF y/o DKIM: puede pedir que se ignore la falla, que se envíe a spam, o que se rechace directamente. Además, permite recibir reportes periódicos sobre quién está enviando correos usando tu dominio, lo cual es clave para detectar intentos de suplantación (phishing con tu marca).
En la práctica, DMARC funciona como una capa de política sobre SPF y DKIM: sin estos dos configurados previamente, DMARC no tiene sobre qué basar su decisión.
Pasos generales para configurarlos
- Identificar todos los servidores y plataformas que envían correo en nombre del dominio (servidor de mail propio, plataforma de mailing, ERP de facturación, etc).
- Publicar el registro SPF en el DNS incluyendo todos esos orígenes autorizados.
- Generar el par de claves DKIM en el servidor de correo y publicar la clave pública como registro TXT.
- Publicar la política DMARC, comenzando en modo de solo monitoreo (p=none) para revisar los reportes antes de pasar a un modo más estricto.
- Revisar periódicamente los reportes DMARC para detectar orígenes no autorizados.
Un error de sintaxis en cualquiera de estos tres registros puede tumbar la entrega de correo de todo el dominio, por lo que se recomienda que la configuración la realice un técnico con experiencia en administración de DNS y servidores de mail.
Preguntas frecuentes
¿Necesito los tres registros o alcanza con uno solo?
Se recomienda tener los tres. SPF y DKIM por separado ya mejoran la entregabilidad, pero sin DMARC no hay una política clara ante los intentos de suplantación de tu dominio, y varios proveedores masivos los exigen en combinación.
¿Estos registros afectan el envío de mailing masivo?
Sí, de forma directa. Las plataformas de email marketing y los servidores SMTP dedicados dependen de que estos registros estén correctamente configurados para lograr una buena tasa de entrega a bandeja de entrada.
¿Cada cuánto hay que revisarlos?
Cada vez que se suma o se da de baja un servicio que envía correo desde el dominio. También conviene una revisión periódica de los reportes DMARC para monitorear la reputación general del dominio.
