Webmail solicitar
es
Webmail solicitar
nl en fr de it es pl
Entregabilidad

Configurar SPF, DKIM y DMARC juntos

SPF, DKIM y DMARC se configuran en un orden lógico: primero SPF (qué servidores pueden enviar), después DKIM (una firma que hace auténtico tu mensaje) y, por último, DMARC (la política que une los dos y le dice al receptor qué hacer si falla una comprobación). Juntos hacen que tu correo llegue de forma fiable y que otros no puedan enviar correo en tu nombre así como así. No hace falta ser experto, pero el orden importa.

Por el equipo de Mailflux Publicado el

¿Por qué configurar SPF, DKIM y DMARC juntos?

Cada uno de los tres tapa un agujero distinto, y solo juntos cierran la puerta. Una pregunta frecuente es cómo frenan exactamente SPF, DKIM y DMARC la suplantación de identidad (spoofing) en el correo. La respuesta: SPF limita quién puede enviar en tu nombre, DKIM demuestra que un mensaje no se ha modificado por el camino, y DMARC vincula esas comprobaciones al remitente visible y además decide qué pasa si algo falla. Quien quiera enviar correo en tu nombre tiene que superar entonces los tres obstáculos, y eso un estafador no lo consigue así como así.

Encontrarás la explicación de cada parte por separado en los artículos sobre qué es SPF, qué es DKIM y qué es DMARC. Esta guía los reúne.

Además, desde 2024 esto ya no es un lujo: los grandes proveedores de correo exigen a quienes hacen envíos masivos que su correo esté correctamente autenticado. Qué significa eso en concreto lo lees en autenticación del correo: por qué ahora es obligatoria.

Configuración antispam con una lista blanca y una lista negra

Paso 1: configurar SPF

Empieza por SPF, porque es la base y las demás capas se apoyan en él.

  1. Haz un inventario de las fuentes que envían correo en tu nombre: tu proveedor de correo, pero también, por ejemplo, una herramienta de newsletters o un programa de contabilidad.
  2. Publica en tu DNS un único registro SPF (tipo TXT) que contenga todas esas fuentes, por ejemplo v=spf1 include:_spf.tuproveedor.eu -all.
  3. Mantén un solo registro SPF y quédate por debajo del límite de diez consultas DNS.

Ojo: dos registros SPF separados provocan errores. Combínalo todo en una sola línea.

Paso 2: configurar DKIM

Después, añade la firma digital.

  1. Deja que tu proveedor genere un par de claves. La clave privada se queda en el servidor de envío; la clave pública te la dan a ti.
  2. Publica la clave pública como registro TXT en tu selector, por ejemplo selector1._domainkey.tudominio.eu.
  3. Activa la firma, para que cada mensaje saliente lleve una firma.
  4. Envía un mensaje de prueba y comprueba que la firma es válida.

Copia la clave pública completa; un solo carácter que falte invalida la comprobación.

Paso 3: configurar DMARC

Configura DMARC solo cuando SPF y DKIM superen las comprobaciones de forma fiable.

  1. Publica un registro DMARC (tipo TXT) en _dmarc.tudominio.eu, para empezar con p=none, por ejemplo v=DMARC1; p=none; rua=mailto:informes@tudominio.eu.
  2. Lee los informes que lleguen y comprueba que todas las fuentes legítimas superan SPF y DKIM.
  3. Después, pasa poco a poco a p=quarantine y, finalmente, a p=reject.

Nunca pongas DMARC directamente en reject: sin observar primero, te arriesgas a que se rechace tu propio correo.

Checklist

Repasa esto para confirmar que todo está bien:

  • Un único registro SPF con todas las fuentes de envío, terminado en -all.
  • La firma DKIM activa y la clave pública publicada correctamente.
  • Un mensaje de prueba con comprobación SPF y DKIM válida.
  • El registro DMARC publicado, empezando con p=none.
  • Los informes leídos antes de endurecer la política.
  • La política subida poco a poco a quarantine y reject.

Después de cada paso, envía un mensaje de prueba a una dirección de un gran proveedor de correo y mira en los detalles del mensaje si SPF, DKIM y DMARC aparecen los tres como superados. Así te aseguras de no haber olvidado nada antes de endurecer la política DMARC.

Si a pesar de todo tu correo sigue acabando en spam, revisa las causas más generales en por qué tu correo acaba en spam.

Cómo lo resuelve Mailflux por ti

En Mailflux no tienes que seguir tú este plan paso a paso. Gestionamos SPF, DKIM y DMARC para tu dominio y vigilamos la reputación de IP de nuestros servidores de envío, para que las tres capas estén bien configuradas y coordinadas entre sí. Además, todos los planes filtran con aprendizaje automático (machine learning) contra spam, phishing y malware, con antivirus, antispam, antimalware y copias de seguridad automáticas de serie.

Obtienes correo profesional con tu propio dominio, alojado en Europa y conforme al RGPD, con verificación en dos pasos opcional. Nosotros nos encargamos de toda la autenticación entre bastidores; tú solo tienes que enviar tu correo.

¿Listo para empezar?

Correo profesional con tu propio dominio, alojado en Europa y conforme al RGPD. Solicita tu buzón sin compromiso.

Solicita

FAQ

Preguntas frecuentes

¿En qué orden configuro SPF, DKIM y DMARC?

Siempre primero SPF, después DKIM y luego DMARC. SPF y DKIM son las piezas básicas; DMARC se apoya en ellas y decide qué pasa si falla una comprobación. Si configuras DMARC antes de que los otros dos estén bien, te arriesgas a que se rechace tu propio correo legítimo.

¿Cómo evitan SPF, DKIM y DMARC la suplantación?

Juntos obligan a un falsificador a superar tres obstáculos a la vez: enviar desde un servidor autorizado (SPF), poner una firma válida (DKIM) y coincidir con el remitente visible (alineación DMARC). Un estafador sin acceso a tu dominio y a tus claves no lo consigue, así que su correo queda frenado.

¿Cuánto tarda la configuración en funcionar?

Los registros DNS en sí se publican rápido, pero los cambios pueden tardar hasta un día en aplicarse por la caché. Después, DMARC requiere paciencia: dejas primero la política unas semanas en none para reunir informes, antes de pasar a quarantine y reject.

Sigue leyendo