Un presupuesto que no llega, una factura encontrada en la carpeta de spam: cuando sus correos acaban en spam, la causa se lee en la cabecera del mensaje recibido. Tres registros de su dominio, SPF, DKIM y DMARC, demuestran a los servicios de correo que sus envíos proceden realmente de usted. Esta guía los configura en orden.
Authentication-Results da el veredicto SPF, DKIM y DMARC._dmarc.su-dominio.com, empezando por p=none y una dirección para los informes.p=quarantine y, por último, a p=reject.Cada servicio de correo que recibe un mensaje comprueba de dónde viene y anota el resultado en la cabecera del mensaje. Para leerlo, envíe un correo desde su dirección profesional a una dirección de Gmail, ábralo y haga clic en Más (los tres puntos) y en Mostrar original. Busque la línea Authentication-Results:
Authentication-Results: mx.google.com;
dkim=pass header.i=@su-dominio.com header.s=google;
spf=pass (google.com: domain of contacto@su-dominio.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=contacto@su-dominio.com;
dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=su-dominio.com| Usted lee | Lo que significa | La sección que seguir |
|---|---|---|
spf=fail o spf=softfail | El servidor que envió el mensaje no está en la lista SPF del dominio. | 1. SPF |
spf=permerror | El registro SPF no es válido: dos registros para un mismo dominio, o más de diez consultas DNS. | 1. SPF |
dkim=none o dkim=fail | El mensaje no está firmado, o la clave publicada en el DNS no corresponde a la firma. | 2. DKIM |
dmarc=fail | Ni SPF ni DKIM validan el dominio de la dirección de remitente que ve el destinatario. | 3. DMARC, y el formulario del sitio |
Todo en pass | La autenticación está en regla: la causa está en otra parte, reputación, volumen o contenido. | Cuando todo pasa |
Estos tres ajustes están desigualmente extendidos. De los 1.730 dominios de pymes que reciben correo en nuestro análisis mensual, el 96 % publica un SPF, y el 71 % no tiene ninguna política DMARC que actúe sobre el resultado.
SPF es un registro TXT en la raíz del dominio. Empieza por v=spf1, nombra los servidores autorizados a enviar en nombre del dominio y termina indicando qué pensar de todos los demás. Los dos proveedores de correo más extendidos publican el valor que hay que usar:
v=spf1 include:_spf.google.com ~allv=spf1 include:spf.protection.outlook.com -allCualquier otro servicio que envíe con su dominio se añade en ese mismo registro: herramienta de email marketing, programa de facturación, CRM, y el servidor de su web si sus formularios envían los mensajes por sí mismos. Cada uno indica en su documentación el include: que hay que añadir; un servidor se declara por su dirección, con ip4::
v=spf1 include:_spf.google.com ip4:203.0.113.25 ~allv=spf1 invalidan SPF (permerror): combínelos en uno solo.include, a, mx, ptr, exists y redirect, incluidos los que contienen los include. Por encima de diez, SPF no es válido. ip4 e ip6 no cuentan.-all declara no autorizado cualquier otro servidor; ~all lo señala sin declararlo ilegítimo. Google propone ~all en su documentación, y Microsoft, -all. Una vez implantado DMARC, es su política la que decide qué ocurre con un mensaje que falla.DKIM añade a cada mensaje una firma que el servicio de correo del destinatario comprueba con una clave pública publicada en su DNS, con un nombre del tipo selector._domainkey.su-dominio.com. La firma se genera en el servicio que envía; su papel consiste en publicar la clave que este le proporciona.
google, y Google recomienda una clave de 2048 bits. Publique el registro TXT google._domainkey y vuelva después para hacer clic en «Iniciar autenticación».https://security.microsoft.com/authentication?viewid=DKIM). DKIM se basa allí en dos registros CNAME, selector1._domainkey y selector2._domainkey, cuyos valores exactos para su dominio muestra el portal: cópielos tal cual y active después la firma.Gmail acepta claves de 1024 bits o más; 2048 bits es la longitud que recomienda el estándar. Cuente hasta 48 horas hasta que la clave publicada sea visible en todas partes.
DMARC vincula SPF y DKIM a la dirección que ve el destinatario, la del campo From. Un mensaje supera DMARC si SPF o DKIM es válido para el dominio de esa dirección: es la alineación. El registro indica también qué hacer con un mensaje que falla, y adónde enviar los informes.
v=DMARC1; p=none; rua=mailto:dmarc@su-dominio.com| Política | Lo que pide el dominio | Cuándo elegirla |
|---|---|---|
p=none | Ninguna acción: los servicios de correo solo envían informes. | Al principio, para inventariar todo lo que envía con su dominio. |
p=quarantine | Clasificar como spam los mensajes que fallan. | Cuando los informes ya solo muestran envíos legítimos que pasan. |
p=reject | Rechazar los mensajes que fallan. | Cuando quarantine lleva unas semanas funcionando sin pérdida de mensajes legítimos. |
p=none con una dirección rua. Los grandes servicios de correo envían a ella cada día un informe agregado, un archivo XML comprimido que lista los servidores que han enviado con su dominio y su resultado.p=quarantine y, tras unas semanas sin pérdidas, a p=reject. Si sus equipos escriben en listas de distribución, quédese en quarantine: el estándar desaconseja reject para esos dominios, porque las listas modifican los mensajes que redistribuyen.Las guías más antiguas proponen una subida progresiva con la etiqueta pct. La versión actual del estándar DMARC, el RFC 9989 publicado en mayo de 2026, ya no la reconoce: la progresión se hace mediante la propia política.
Muchos formularios web envían el mensaje con la dirección del visitante como remitente. El servidor del sitio no tiene ninguna autorización sobre el dominio de ese visitante: SPF y DKIM no pueden alinearse, y DMARC falla. Si el servicio de correo del visitante publica una política estricta (yahoo.com publica p=reject), el mensaje se rechaza o acaba en spam antes de llegarle a usted.
formulario@su-dominio.com.Reply-To): la dirección del visitante, para que el botón Responder le escriba directamente.https://check.spamhaus.org/, comprueba gratis una dirección IP o un dominio.p=none, la alineación, la baja con un clic y una tasa de spam notificado inferior al 0,3 %. Desde noviembre de 2025, Gmail rechaza parte de los mensajes que no cumplen estas reglas. Yahoo aplica requisitos parecidos sin publicar un umbral, y Outlook.com rechaza desde el 5 de mayo de 2025 los mensajes de los dominios que envían más de 5.000 mensajes al día sin SPF, DKIM y DMARC.postmaster.google.com) muestra la reputación de su dominio y la tasa de spam en Gmail, una vez verificado el dominio con un registro DNS. Los paneles se llenan a partir de un volumen de envío suficiente.Simafri Suite reúne el correo, el calendario, los contactos y los archivos de todo su equipo en su nombre de dominio, instalados, asegurados y atendidos por Simafri. Una cuenta, usuarios ilimitados, sin permanencia.
Cada servicio de correo aplica sus propios filtros y su propia lectura de SPF, DKIM y DMARC. Un mensaje puede pasar en uno y acabar en spam en otro, sobre todo si la autenticación está incompleta. La cabecera Authentication-Results del mensaje recibido da el veredicto del servicio de correo en cuestión.
Un dominio lleva un único registro SPF. Con dos registros que empiezan por v=spf1, la comprobación SPF devuelve un error permanente (permerror). Combine los dos en un único registro que recoja todos los include y todas las direcciones.
El tiempo que tarda el registro en propagarse, según su tiempo de vida (TTL): de unos minutos a 48 horas. Google indica hasta 48 horas para SPF y DKIM. Compruébelo después con un nuevo envío a Gmail y la opción Mostrar original.
p=none solo pide informes: los servicios de correo no aplican ninguna medida a los mensajes que fallan. Esta etapa sirve para inventariar los servicios que envían con su dominio. La protección contra la suplantación llega con p=quarantine y, después, con p=reject.
Simafri
Hablemos de su proyecto
Díganos en pocas palabras lo que necesita: le respondemos rápidamente.
¡Gracias! Su solicitud ha sido enviada. Le responderemos en breve.
¿Prefiere el correo? Escríbanos a support@simafri.com.