Cómo configurar y corregir SPF, DKIM y DMARC: guía paso a paso

Si alguien te dijera que tus correos no se entregan porque tu "registro SPF tiene demasiadas consultas DNS" o porque tu "firma DKIM no se alinea con tu dominio RFC5322.From", sería comprensible que quisieras tirar tu laptop por la ventana.

Pero la verdad es esta: configurar SPF, DKIM y DMARC es mucho más sencillo de lo que sugieren esas siglas. La mayoría de las personas corrige la autenticación de su correo electrónico en menos de una hora. Y en 2026 es obligatorio.

Esta guía te lleva por cada paso en lenguaje claro.

Por qué la autenticación de correo es obligatoria en 2026

Lo que antes era una buena práctica ahora es un requisito estricto.

En febrero de 2024, Gmail y Yahoo empezaron a exigir la autenticación de correo a los remitentes masivos. En noviembre de 2025, Gmail pasó al rechazo directo de los mensajes que no cumplen. Microsoft siguió en mayo de 2025 y rechaza los correos de remitentes de alto volumen que no tienen una alineación correcta de SPF, DKIM y DMARC.

Los dominios con autenticación completa logran un inbox placement (ubicación en la bandeja de entrada) mucho mejor. Sin ella, muchos de tus correos ni siquiera llegan a la carpeta de spam, porque se rebotan antes de llegar a un buzón.

¿Qué son SPF, DKIM y DMARC? (La versión sencilla)

Piensa en la autenticación de correo como un control de seguridad en un aeropuerto:

SPF es tu boleto. Les dice a los servidores receptores qué servidores de correo están autorizados para enviar correo desde tu dominio. Como una lista de invitados que dice "estas personas pueden entrar".

DKIM es tu pasaporte. Agrega una firma criptográfica a cada correo, que demuestra que nadie alteró el mensaje en el camino y que de verdad viene de tu dominio.

DMARC es el agente de seguridad. Revisa si SPF o DKIM pasaron, decide qué hacer con los fallos (nada, cuarentena o rechazo) y te envía reportes sobre quién usa tu dominio para enviar correo.

Necesitas los tres. Así se configura cada uno.

Cómo configurar SPF (Sender Policy Framework)

Qué hace SPF

SPF es un registro DNS TXT que enumera cada servidor autorizado para enviar correo en nombre de tu dominio. Cuando Gmail recibe un correo que dice venir de yourdomain.com, revisa tu registro SPF para ver si el servidor que lo envía está en la lista.

Paso 1: revisa si ya tienes un registro SPF

Entra a un verificador de SPF y escribe tu dominio. Verás uno de tres resultados: no se encontró ningún registro, se encontró un registro con errores o se encontró un registro que pasa.

Importante: solo puedes tener UN registro SPF por dominio. Varios registros rompen la autenticación por completo.

Paso 2: identifica todos tus servicios de envío

Haz una lista de cada plataforma que envía correo desde tu dominio. Las más comunes:

• Tu proveedor de correo (Google Workspace, Microsoft 365)
• Plataformas de marketing (Mailchimp, HubSpot, ActiveCampaign)
• Servicios de correo transaccional (SendGrid, Postmark, Mailgun)
• Sistemas CRM (Salesforce, HubSpot)
• Herramientas de soporte (Zendesk, Intercom, Freshdesk)

Paso 3: crea o actualiza tu registro SPF

Cada servicio publica su valor include de SPF en su documentación. Tu registro se ve así:

v=spf1 include:_spf.google.com include:sendgrid.net include:mail.zendesk.com ~all

• v=spf1 lo identifica como un registro SPF
• Cada include: autoriza los servidores de ese servicio
• ~all aplica un soft fail a todo lo que no esté en la lista (la mejor práctica, porque deja que DMARC se encargue de aplicar la política)

Paso 4: agrégalo a tu DNS

Inicia sesión en tu registrador de dominios (GoDaddy, Cloudflare, Namecheap, etc.), entra a la configuración DNS y agrega o actualiza el registro TXT.

Errores comunes de SPF que debes evitar

Demasiadas consultas DNS. SPF tiene un límite estricto de 10 consultas DNS. Cada include: cuenta como al menos una, y algunos generan consultas adicionales. Si pasas de 10, toda la verificación SPF devuelve permerror (RFC 7208, sección 4.6.4), y nada te avisa cuando pasa. Usa una herramienta de aplanamiento de SPF si estás llegando a este límite.

Usar -all en lugar de ~all. El hard fail (-all) les dice a los servidores que rechacen de inmediato los correos que no coinciden, antes de revisar DKIM o DMARC. Usa soft fail (~all) y deja que DMARC se encargue de aplicar la política.

Olvidar un servicio de envío. ¿Ese CRM que agregaste hace seis meses? ¿Esa herramienta de facturación? Si envían correo desde tu dominio y no están en tu registro SPF, esos mensajes fallan la autenticación.

Cómo configurar DKIM (DomainKeys Identified Mail)

Qué hace DKIM

DKIM agrega una firma criptográfica a cada correo saliente. El servidor receptor compara esa firma con una clave pública en tu DNS para verificar que el correo es auténtico y que no fue alterado.

Paso 1: genera las claves DKIM en tu proveedor de correo

A diferencia de SPF, la configuración de DKIM empieza dentro del panel de tu plataforma de envío. Todos los proveedores principales tienen una guía de configuración de DKIM. Busca en su documentación "DKIM setup" o "email authentication".

El proveedor genera dos cosas:

• Una clave pública (un registro DNS TXT que agregarás a tu dominio)
• Una clave privada (la usa el servidor para firmar tus correos salientes)

Paso 2: agrega la clave pública a tu DNS

El registro tendrá un selector específico (como google._domainkey.yourdomain.com) y una cadena larga de caracteres. Agrégalo como registro TXT en tu configuración DNS.

Paso 3: activa la firma DKIM

Vuelve a tu proveedor de correo y activa la firma DKIM. Este paso es crítico: mucha gente agrega el registro DNS y da por hecho que ya terminó. Agregar la clave pública es solo la mitad del proceso.

Paso 4: repite para cada servicio de envío

Cada plataforma que envía correo desde tu dominio necesita su propia configuración de DKIM. Todas: tu herramienta de marketing, tu servicio de correo transaccional, tu CRM.

Cómo verificar que DKIM funciona

Envía un correo de prueba a una cuenta de Gmail. Ábrelo, haz clic en los tres puntos → "Mostrar original". Busca DKIM: PASS en los resultados de autenticación.

Errores comunes de DKIM

No activar la firma después de agregar el registro DNS. Es especialmente común con Google Workspace, donde la gente agrega el registro DNS y nunca activa DKIM en la consola de administración.

Usar claves de 1024 bits. Usa claves de 2048 bits para una seguridad más fuerte. La mayoría de los proveedores ya usan este valor por defecto, pero revísalo con la consulta de DKIM.

No tener DKIM en los remitentes secundarios. Si tu plataforma de marketing firma con DKIM pero tu servicio transaccional no, esos mensajes transaccionales viajan sin firma.

Cómo configurar DMARC (Domain-based Message Authentication, Reporting and Conformance)

Qué hace DMARC

DMARC funciona por encima de SPF y DKIM. Revisa si alguno de los dos protocolos pasó y si el dominio se alinea con tu dirección "From" visible. Después les dice a los servidores receptores qué hacer con los fallos. También te envía reportes sobre cada correo enviado con tu dominio, incluidos los que tú no enviaste.

Paso 1: asegúrate primero de que SPF y DKIM funcionen

DMARC depende de los dos. No configures DMARC hasta confirmar que SPF y DKIM pasan. Google recomienda esperar al menos 48 horas después de configurar SPF y DKIM antes de activar DMARC.

Paso 2: empieza en modo de monitoreo

Agrega este registro TXT a tu DNS en _dmarc.yourdomain.com:

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com

• p=none les dice a los receptores que todavía no actúen sobre los fallos, solo que envíen reportes
• rua=mailto:... define adónde se envían los reportes agregados

Paso 3: revisa los reportes DMARC durante 2 a 4 semanas

Los reportes DMARC te muestran cada dirección IP que envía correo como tu dominio, cuáles pasan la autenticación y cuáles fallan.

Busca: servicios de envío legítimos que están fallando la autenticación (corrige su SPF/DKIM), remitentes no autorizados que intentan suplantar tu dominio (por eso necesitas DMARC) y problemas de alineación entre tu dominio From y tus dominios de SPF/DKIM.

Paso 4: pasa a aplicar la política

Una vez que confirmes que todo el correo legítimo pasa la autenticación:

Quarantine (envía los fallos a spam):

v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@yourdomain.com

Reject (bloquea los fallos por completo; es el estándar de referencia):

v=DMARC1; p=reject; rua=mailto:dmarc-reports@yourdomain.com

Errores comunes de DMARC

Saltar directo a p=reject. Si aplicas el rechazo antes de confirmar que todos los remitentes legítimos pasan, vas a bloquear tus propios correos. Empieza siempre con p=none.

No pasar nunca de p=none. Del otro lado, muchas organizaciones publican una política solo de monitoreo y nunca la aplican. Una política p=none solo observa; no te protege de la suplantación. El objetivo es llegar a quarantine o reject.

Fallos de alineación. DMARC exige que el dominio que usa SPF o DKIM se alinee con tu dirección From visible. Si tu herramienta de marketing envía con un return-path de bounce.marketingtool.com pero tu From es you@yourdomain.com, SPF no se va a alinear, como muestra el verificador de alineación DMARC en cualquier mensaje que pegues. En ese caso necesitas alineación de DKIM.

El orden correcto de los pasos

Si empiezas desde cero:

1. Primero SPF: el más fácil de configurar y el de impacto más inmediato
2. Después DKIM: requiere más trabajo (hay que configurarlo en cada plataforma de envío), pero es crítico
3. Al final DMARC: solo cuando SPF y DKIM funcionen. Empieza con p=none y pasa a aplicar la política en 2 a 4 semanas

La propagación DNS puede tardar hasta 48 horas, así que no te asustes si los cambios no se reflejan de inmediato.

No lo configures y lo olvides

Aquí es donde falla la mayoría. Configuran la autenticación una vez y nunca la vuelven a revisar. Luego alguien del equipo agrega una nueva herramienta de correo, el registro SPF no se actualiza y de repente la mitad de sus correos fallan la autenticación durante semanas antes de que alguien lo note.

La autenticación de correo requiere mantenimiento continuo:

• Revisa los registros cada mes cuando la infraestructura esté estable
• Haz una auditoría de inmediato después de cualquier cambio (nuevo dominio, nuevo ESP, nuevo CRM)
• Monitorea de forma continua para detectar desviaciones en la configuración

MailVitals automatiza este monitoreo. Revisa de forma continua tu configuración de SPF, DKIM y DMARC en todos tus dominios y te alerta al instante cuando algo se rompe, antes de que tu entregabilidad se vea afectada.

👉 Relacionado: ¿Por qué mis correos llegan a spam?

Fuentes

• RFC 7208: Sender Policy Framework (SPF), la sintaxis del registro SPF, ~all y -all, la regla de un solo registro y el límite de 10 consultas.
• RFC 6376: DomainKeys Identified Mail (DKIM) Signatures, cómo funcionan las firmas DKIM, los selectores y las claves públicas en DNS.
• RFC 9989: Domain-Based Message Authentication, Reporting, and Conformance (DMARC), el estándar DMARC vigente: la alineación, las políticas p=none/quarantine/reject y los reportes agregados.
• Set up DMARC (Ayuda de Google Workspace), el consejo de Google para implementar DMARC, incluida la espera de 48 horas después de SPF y DKIM.
• Strengthening Email Ecosystem: Outlook's New Requirements for High-Volume Senders (Microsoft Tech Community), las reglas de SPF, DKIM y DMARC que Outlook.com aplica a los dominios que envían más de 5,000 mensajes al día.