Si envías correos desde tu dominio propio y algunos de tus clientes te dicen "no me llegó nada, revisé hasta en spam", el problema casi siempre son tres registros DNS que faltan o están mal configurados: SPF, DKIM y DMARC. Desde que Gmail y Yahoo endurecieron sus reglas para remitentes masivos en 2024, tenerlos bien puestos dejó de ser opcional.
SPF: la lista de quién puede enviar en tu nombre
El SPF (Sender Policy Framework) es un registro DNS tipo TXT que le dice a los servidores de correo receptores qué servidores están autorizados a enviar mensajes usando tu dominio. Sin SPF, cualquiera podría falsificar tu dirección de correo y enviar spam haciéndose pasar por ti — y los proveedores como Gmail penalizan justamente esa ambigüedad marcando tus correos legítimos como sospechosos.
DKIM: la firma digital que demuestra que el correo no fue alterado
DKIM (DomainKeys Identified Mail) añade una firma criptográfica a cada correo saliente, generada con una clave privada en tu servidor y verificable con una clave pública publicada en tu DNS. Esto le prueba al servidor receptor dos cosas: que el correo realmente salió de tu dominio y que nadie modificó el contenido en el camino. A diferencia del SPF, que valida el servidor de envío, DKIM valida el mensaje en sí.
DMARC: la política que une a los dos anteriores
DMARC (Domain-based Message Authentication, Reporting and Conformance) no reemplaza a SPF ni a DKIM — les dice a los servidores receptores qué hacer cuando un correo falla esas validaciones: rechazarlo, ponerlo en cuarentena (spam) o simplemente dejarlo pasar y avisarte. Sin un registro DMARC, muchos proveedores tratan cualquier fallo de autenticación con más sospecha por defecto.
| Registro | Qué valida | Se publica en |
|---|---|---|
| SPF | Qué servidores pueden enviar por tu dominio | TXT en el dominio raíz |
| DKIM | Que el mensaje no fue alterado | TXT en un subdominio selector |
| DMARC | Qué hacer si SPF/DKIM fallan | TXT en _dmarc.tudominio.com |
Cómo empezar sin arriesgar que tu correo deje de llegar
La forma segura de implementar DMARC es empezar con la política p=none, que solo te envía reportes de qué correos están fallando SPF/DKIM sin bloquear nada todavía. Después de revisar esos reportes durante 1-2 semanas y confirmar que todos tus envíos legítimos pasan la validación, puedes subir la política a quarantine y finalmente a reject para bloquear activamente la suplantación de tu dominio.
- Publica el registro SPF incluyendo todos los servicios que envían correo por ti (tu hosting, tu CRM, tu plataforma de newsletters).
- Activa DKIM desde tu panel de correo y publica la clave pública generada.
- Publica DMARC con
p=noney monitorea los reportes durante unas semanas. - Sube gradualmente la política a
quarantiney luego areject.
Estos tres registros toman minutos en configurarse pero son la diferencia entre que tus facturas, confirmaciones y campañas lleguen a la bandeja principal o mueran silenciosamente en la carpeta de spam de tus clientes. Si administras tu correo desde cPanel, la mayoría de estos registros se pueden generar automáticamente desde la sección de Email Deliverability.
