Qué demuestra cada uno de SPF, DKIM y DMARC, cómo encajan entre sí y un generador que crea registros SPF y DMARC válidos y cuenta las consultas DNS de SPF.
SPF enumera los servidores autorizados a enviar correo en nombre de tu dominio. DKIM añade una firma que demuestra que el mensaje no se modificó e identifica el dominio firmante. DMARC comprueba que uno de los dos se supere para el dominio de la línea From y luego indica a los receptores si deben entregar, poner en cuarentena o rechazar el correo que falla.
Qué es cada registro y dónde se publica
Si envías facturas, confirmaciones de reserva o newsletters desde tu propio dominio, estas tres entradas DNS deciden si llegan a la bandeja de entrada o a la carpeta de spam. Cada una es un registro TXT, una entrada DNS de texto libre que tu proveedor de DNS te permite añadir. Los generadores de abajo escriben las líneas SPF y DMARC por ti y comprueban la sintaxis según los estándares publicados. DKIM es distinto: tu proveedor de correo genera la clave, así que copias su valor en lugar de escribirlo tú.
Desde octubre de 2026, Gmail pide SPF o DKIM a todos los remitentes, y quien envía 5,000 o más mensajes al día a cuentas de Gmail necesita SPF, DKIM y DMARC. Yahoo pide a los remitentes masivos SPF, DKIM y una política DMARC de al menos p=none. Configurar los tres es la respuesta sencilla para cualquier dominio de empresa.
El símbolo antes de all es un calificador. Un menos significa fallo, una tilde significa fallo suave, un signo de interrogación significa neutral y un más significa aprobado. La mayoría de los dominios terminan con -all o ~all; +all aprobaría todos los servidores de internet y nunca debe usarse.
El estándar SPF dice que los verificadores deben detenerse tras 10 términos que requieren una consulta DNS: include, a, mx, ptr, exists y redirect. Los include dentro de otros include también cuentan. Superarlo da un error permanente (permerror), así que SPF ya no cuenta como aprobado.
DMARC solo cuenta un aprobado si el dominio que comprobó SPF o DKIM coincide con el dominio de la línea From. La alineación relajada, la predeterminada, acepta un subdominio de la misma organización; la alineación estricta exige una coincidencia exacta.
En el panel de administración de tu proveedor de correo, normalmente en la configuración de autenticación o de dominio. Te da un nombre de selector y una clave pública. Lo publicas en ese selector bajo _domainkey, y el proveedor firma el correo saliente con la clave privada correspondiente.
Puede hacerlo, si un servicio que envía como tu dominio falta en SPF y no firma con DKIM. Por eso los informes de p=none van primero: enumeran todos los servidores que envían en tu nombre, para que puedas corregirlos antes de endurecer la política.
Las etiquetas se separan con punto y coma. v debe ir primero y p es obligatoria; todo lo demás es opcional.
Etiquetas DMARC del RFC 7489
Un include y una dirección IP suman una sola consulta DNS entre los dos, y todo lo demás falla.
El selector s1 de example.com se consulta en s1._domainkey.example.com. La clave la proporciona tu proveedor.
Todavía no se bloquea nada; los receptores envían resúmenes diarios de quién envió correo como tu dominio.
Generador de registros SPF
Marca los servicios que envían como tu dominio y añade cualquier otro servidor. El resultado va en un registro TXT en @.
Servicios que envían tu correo
Direcciones o rangos IPv4 adicionales, separados por espacios
Otros dominios include de tus proveedores, separados por espacios
Correo de servidores no incluidos
Generador de registros DMARC
Publica el resultado como un registro TXT llamado _dmarc. Empieza con none y luego endurécelo.
Política (p)
Enviar informes agregados a (correo)
Porcentaje del correo fallido al que se aplica la política (pct)
Alineación DKIM (adkim)
Alineación SPF (aspf)
Nombre del registro
Valor del registro
Rechazar (-all)
Marcar como sospechoso (~all)
Sin opinión (?all)
Consultas DNS en este registro: {n} de 10. Los include dentro de los registros de tus proveedores suman más.
Más de 10 consultas: los receptores devolverán un error permanente.
No es una dirección o rango IPv4 válido: {v}
No es un nombre de dominio válido: {v}
No hay nada en la lista, así que este registro no aprueba ningún servidor.
none: solo informar
quarantine: enviar a spam
reject: rechazar la entrega
Relajada (r)
Estricta (s)
La dirección de informes no parece una dirección de correo.
pct debe ser un número entero de 0 a 100.
La sintaxis parece válida.
Empieza gratis · Sin tarjeta de crédito