Herramientas de red Guías
Actualizado el 23 de septiembre de 2026
Sin estos tres registros DNS, los mensajes enviados desde tu dominio resultan sospechosos para Gmail, Outlook o Yahoo, y cualquiera puede suplantarte. Así se configuran sin romper nada.
| Mecanismo | Qué demuestra | Dónde está |
|---|---|---|
| SPF | El servidor que envía tiene derecho a enviar por este dominio | Registro TXT en la raíz del dominio |
| DKIM | El mensaje no se ha modificado y procede del dominio que lo firmó | Registro TXT selector._domainkey.dominio |
| DMARC | Qué debe hacer el destinatario si fallan SPF y DKIM, y a quién enviar los informes | Registro TXT _dmarc.dominio |
Desde 2024, Gmail y Yahoo exigen SPF, DKIM y DMARC a los remitentes masivos, y los aplican cada vez con más rigor a todos. Un dominio sin autenticación ve caer su entregabilidad.
El registro SPF enumera los servidores autorizados. Ejemplo para un dominio que envía mediante un proveedor de correo y una herramienta de boletines:
v=spf1 include:_spf.proveedor.com include:envio.boletin.com ~all
Reglas que respetar:
v=spf1 invalidan el SPF. Fusiona los include.include, a o mx cuenta. Si se superan, el SPF falla.~all** (fallo «suave») al principio, y con -all cuando estés seguro de haber incluido a todos los remitentes.v=spf1 -all: nadie podrá suplantarlo.DKIM firma cada mensaje con una clave privada; la clave pública se publica en el DNS. Es tu proveedor de envío quien genera el par de claves: te da el nombre del registro (por ejemplo s1._domainkey.ejemplo.com) y su valor, o un CNAME que crear.
DKIM-Signature y el resultado dkim=pass.DMARC vincula SPF y DKIM con el dominio que aparece en el campo «De». Empieza en modo observación:
v=DMARC1; p=none; rua=mailto:dmarc@ejemplo.com
p=none** durante dos a cuatro semanas: no se bloquea nada, pero recibes informes con todos los servidores que envían en tu nombre. A menudo descubrirás un servicio olvidado.p=quarantine**: los mensajes que fallan van a spam. Puedes subir poco a poco con pct=25, luego 50 y luego 100.p=reject**: los mensajes suplantados se rechazan. Es la protección completa.Los informes son archivos XML difíciles de leer: una herramienta de análisis DMARC, a menudo gratuita para volúmenes pequeños, los resume en una tabla.
Con nuestra herramienta de consulta DNS, consulta los registros TXT del dominio, de _dmarc.dominio y de selector._domainkey.dominio. Después envía un mensaje a una bandeja de Gmail u Outlook y muestra el original: la línea Authentication-Results debe indicar spf=pass, dkim=pass y dmarc=pass.
include.p=reject sin periodo de observación: se bloquean mensajes legítimos._dmarc.dominio.Abrir las herramientas de NetCheck
No. SPF se rompe con el reenvío automático, porque el servidor que reenvía no está en tu lista. DKIM sobrevive al reenvío. DMARC solo necesita uno de los dos alineado con tu dominio, pero tener ambos hace fiable la autenticación.
Lo que tarde en expirar el TTL de los registros, normalmente de unos minutos a una hora. Los informes DMARC suelen llegar una vez al día.
Sí: publica v=spf1 -all y v=DMARC1; p=reject. Los estafadores buscan precisamente dominios sin protección para enviar phishing en su nombre.