Herramienta gratuita
SPF, DKIM y DMARC: ¿llegan los correos?
Escribe un dominio. Leemos sus registros SPF, DKIM y DMARC y sus registros MX en el DNS, los comprobamos como lo hacen los servidores de recepción y te decimos con claridad qué falta o qué está mal, con registros de ejemplo para copiar en tu DNS. Sin conexión a tu servidor de correo; no guardamos nada.
Qué significan los resultados
- SPF
- Un registro TXT que enumera los servidores autorizados a enviar correos en nombre de tu dominio. Los receptores comparan con él el servidor que se conecta. Límites: un solo registro, como máximo 10 consultas DNS y un ~all o -all al final. SPF por sí solo falla cuando el correo se reenvía; por eso existe DKIM.
- DKIM
- Tu servidor de correo firma cada mensaje con una clave privada; la clave pública se publica en selector._domainkey.tudominio en el DNS. Los receptores verifican la firma, que resiste los reenvíos. Usa claves RSA de 2048 bits y cámbialas de vez en cuando.
- DMARC
- Un registro TXT en _dmarc.tudominio que indica a los receptores qué hacer cuando SPF y DKIM fallan (none, quarantine, reject) y adónde enviar los informes. La alineación significa que el dominio de la cabecera From debe coincidir con el dominio de SPF o de DKIM. Empieza con p=none, lee los informes y después endurece la política.
- MX
- Los servidores que reciben los correos del dominio. No hacen falta para enviar, pero los grandes receptores desconfían de los dominios sin registros MX, y sin ellos las respuestas vuelven con error.
- Por qué importa
- Los grandes proveedores de correo exigen SPF o DKIM a todo el mundo y DMARC a quienes envían en masa; sin eso, los correos acaban en spam o son rechazados. Los mismos registros impiden que otros envíen correos de phishing en tu nombre.
- Para que dure
- Los registros cambian cuando incorporas una herramienta de newsletter, cambias de proveedor de hosting o renuevas claves. Centoculus comprueba con regularidad SPF, DKIM, DMARC, MTA-STS y DNSSEC de tu dominio y te alerta en cuanto algo cambia; la comprobación de entrega de correo envía además un mensaje de prueba y te dice dónde llegó.
¿Comprobarlo automáticamente, con una alerta en cuanto algo falle?
Con el plan gratuito, Centoculus comprueba tu sitio web a intervalos regulares y te avisa por correo electrónico y en la app antes de que tus clientes noten nada. Monitores de sitios web y comprobaciones SSL incluidos, gratis, uso profesional permitido; los límites del plan gratuito están en la página de precios. El registro abre pronto: obtén acceso anticipado y estarás entre los primeros.
Obtener acceso anticipadoPreguntas sobre SPF, DKIM y DMARC
¿Cuál es la diferencia entre SPF, DKIM y DMARC?
SPF dice qué servidores tienen permiso para enviar en nombre de tu dominio. DKIM demuestra con una firma que un mensaje no fue modificado y que viene de tu servidor. DMARC une ambos a la dirección de remitente visible y dice a los receptores qué hacer si fallan. Necesitas los tres.
¿Qué es un selector DKIM y dónde lo encuentro?
El selector da nombre a la clave en el DNS: selector._domainkey.tudominio. Tu proveedor de correo te indica el nombre al configurar DKIM (Google usa « google », Microsoft 365 « selector1 » y « selector2 »). También puedes leerlo en la cabecera DKIM-Signature de cualquier correo enviado: el campo s=.
¿Por qué SPF limita a 10 consultas?
Cada include, a, mx, ptr, exists y redirect obliga al receptor a consultar el DNS. El estándar fija el máximo en 10 por comprobación para evitar abusos. Por encima, el receptor devuelve un error permanente, que la mayoría considera un fallo. Los proveedores que necesitan muchas consultas ofrecen un include aplanado.
¿Debo usar ~all o -all?
-all dice a los receptores que rechacen los correos que vienen de otros servidores; ~all, que los traten como sospechosos. Con DMARC en quarantine o reject la diferencia es pequeña, porque decide DMARC. Empieza con ~all mientras no estés seguro de haber enumerado a cada remitente, y después pasa a -all.
¿Con qué política DMARC empiezo?
Con p=none y una dirección rua. Lee los informes durante unas semanas, incluye cada remitente legítimo en SPF y DKIM, y después pasa a p=quarantine y por último a p=reject. Saltar directamente a reject casi siempre bloquea una herramienta de newsletter o un CRM en el que nadie había pensado.
¿Cuánto tardan en aplicarse los cambios de DNS?
Normalmente unos minutos, como máximo el TTL del registro anterior (a menudo hasta 24 horas). Repite la comprobación después del cambio; vuelve a leer el DNS cada vez.
Mis registros son correctos, pero mis correos siguen acabando en spam.
La autenticación es solo la entrada. También cuentan el contenido, la calidad de la lista, la tasa de quejas y la reputación de la IP de envío. Comprueba si la IP de envío está en alguna lista de bloqueo y si el DNS inverso coincide con el nombre del servidor de correo.