Registros DNS del correo explicados (MX, SPF, DKIM, DMARC)
¿Qué es el DNS para el correo?
El DNS es la «libreta de direcciones» de internet: traduce un dominio como tuempresa.es a los servidores que le corresponden. En esa libreta hay distintos tipos de registros. Algunos apuntan a tu web, otros a tu correo.
Para el correo, todo gira en torno a dos preguntas. Primera: ¿dónde llega mi correo? De eso se encarga el registro MX. Segunda: ¿cómo sabe el destinatario que un mensaje viene de verdad de mi dominio y no de un estafador? De eso se encargan SPF, DKIM y DMARC. Sin esos registros el correo no funciona de forma fiable: pierdes mensajes o tus correos acaban en spam.
Los registros DNS del correo, en resumen
| Registro | Qué hace | Para qué sirve |
|---|---|---|
| MX | indica qué servidor recibe tu correo | recibir correo |
| SPF | dice qué servidores pueden enviar en nombre de tu dominio | demostrar el remitente |
| DKIM | pone una firma digital en tu correo saliente | demostrar el remitente |
| DMARC | dice qué debe pasar si SPF o DKIM fallan | política + informes |
Recuérdalo así: MX es para el correo entrante; los otros tres son para el correo saliente y la confianza.
MX: dónde llega tu correo
El registro MX («Mail Exchange») indica al resto de internet a qué servidor de correo debe ir el correo de tu dominio. Si alguien escribe a tu@tuempresa.es, el servidor que envía consulta tu registro MX para saber dónde entregarlo.
Sin un registro MX correcto no llega ningún correo. Es, por tanto, el primer requisito para tener correo con tu propio dominio. Cómo configurarlo lo explicamos en configurar los registros MX.
SPF: quién puede enviar en tu nombre
SPF (Sender Policy Framework) es una lista de servidores que pueden enviar correo en nombre de tu dominio. Cuando un servidor receptor recibe un mensaje que supuestamente viene de tuempresa.es, comprueba: ¿está el servidor que lo envía en la lista SPF? Si no, es una señal sospechosa.
SPF te protege contra el abuso: pone más difícil que los estafadores envíen correo en tu nombre. La explicación y la configuración correcta las encontrarás en SPF explicado.
DKIM: una firma digital
DKIM (DomainKeys Identified Mail) pone una firma digital invisible en cada mensaje que envías. El servidor receptor comprueba esa firma con una clave que está en tu DNS. Si coincide, queda demostrado que el mensaje no se ha modificado por el camino y que viene de verdad de tu dominio.
Mientras SPF mira el servidor, DKIM mira el propio mensaje. Juntos son más fuertes que por separado. Más información en DKIM explicado.
DMARC: la política que lo une todo
DMARC (Domain-based Message Authentication) es la instrucción que dice qué debe hacer un destinatario si SPF o DKIM no cuadran: no hacer nada, mandarlo a spam o rechazarlo. Además, DMARC te envía informes, para que veas quién envía correo en nombre de tu dominio, incluido el abuso.
DMARC solo funciona si SPF y DKIM ya están configurados; se apoya en ellos. Consulta DMARC explicado para los detalles.
Cómo funcionan juntos
Supón que envías un correo. En el lado del destinatario ocurre esto: el servidor no usa tu MX (eso es para el correo entrante), sino que comprueba SPF (¿podía enviar este servidor?), DKIM (¿es correcta la firma?) y después aplica la política DMARC (qué hacer si algo no cuadra). Si se superan esas comprobaciones, tu mensaje gana confianza y llega a la bandeja de entrada en lugar de al spam.
Para el correo entrante es más sencillo: los remitentes te encuentran a través de tu MX y entregan allí. Así que los cuatro registros se complementan: uno para recibir y los otros tres para enviar de forma fiable.
Lo que debes tener en cuenta
- El orden cuenta. Configura primero MX (para recibir), después SPF y DKIM, y solo entonces DMARC (que se apoya en los otros dos).
- Una errata lo rompe todo. Los registros DNS son muy exigentes. Copia los valores exactamente.
- Dale tiempo. Los cambios no son visibles al instante en todo el mundo; calcula unas horas.
- Empieza con prudencia con DMARC. Empieza con una política de «observar» antes de hacer que se rechacen mensajes, para no bloquear por error correo legítimo.
Para dejar bien configurados de una vez los tres registros de confianza, sigue configurar SPF, DKIM y DMARC.
Y en Mailflux
Con Mailflux no tienes que profundizar en el DNS para tenerlo todo bien. Si traes tu propio dominio, recibes los valores exactos de MX, SPF, DKIM y DMARC y te ayudamos a vincularlo; si dejas que Mailflux registre y gestione un dominio, lo configuramos todo correctamente desde el principio. Tu correo funciona con tu propio dominio, alojado en Europa y conforme al RGPD, con antivirus, antispam, antimalware y copias de seguridad en cada plan.
Así tu correo llega de forma fiable y sale con las pruebas correctas, sin que tengas que averiguar la técnica tú solo. Encontrarás más sobre enviar correo con tu propio nombre detrás de la @ en correo con tu propio dominio.
FAQ
Preguntas frecuentes
¿Qué registros DNS necesito para el correo?
Para tener correo con tu propio dominio necesitas un registro MX para recibir correo, y SPF, DKIM y DMARC para enviar como remitente fiable. El registro MX es obligatorio para recibir correo; los otros tres hacen que tus mensajes lleguen en lugar de acabar en spam.
¿Qué diferencia hay entre SPF, DKIM y DMARC?
SPF dice qué servidores pueden enviar en nombre de tu dominio. DKIM pone una firma digital en tus mensajes. DMARC determina qué pasa si SPF o DKIM fallan y te envía informes. Funcionan juntos: SPF y DKIM demuestran, DMARC decide e informa.
¿Qué pasa si estos registros no son correctos?
Si tu registro MX no es correcto, no recibes correo. Si SPF, DKIM y DMARC faltan o fallan, los destinatarios confían menos en tus mensajes y acaban más a menudo en spam, o no llegan en absoluto. Unos registros correctos aumentan la probabilidad de una entrega sin problemas.