Cómo configurar SPF, DKIM y DMARC para tu dominio

Si alguien envía correos haciéndose pasar por tu dominio, o tus propios emails acaban en spam, lo más probable es que falte configurar SPF, DKIM y DMARC. Son tres registros DNS que juntos forman el estándar de autenticación de correo. Sin ellos, cualquiera puede enviar emails que parezcan venir de tu dominio.

SPF: quién puede enviar correo desde tu dominio

SPF es un registro TXT en el DNS que lista los servidores autorizados a enviar correo en tu nombre. Cuando un servidor recibe un email de tu dominio, comprueba si el servidor que lo envió está en esa lista. Si no está, lo marca como sospechoso.

Un SPF básico para quien usa el correo solo desde su hosting:

v=spf1 include:ispactivo.com ~all

Si además usas Google Workspace o Microsoft 365:

v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all

El ~all al final marca como sospechosos los envíos de servidores no listados (softfail). Cambiarlo a -all los rechaza directamente (hardfail), más estricto pero más arriesgado si algún servidor legítimo no está en la lista.

DKIM: la firma digital de tus correos

DKIM añade una firma criptográfica a cada email que envías. El servidor destinatario verifica esa firma contra una clave pública que publicas en tu DNS. Si la firma es válida, el email es auténticamente tuyo. Si fue modificado en tránsito, la firma no cuadra.

Tu proveedor de correo genera el par de claves y te da el registro DKIM para añadir al DNS. En ISPACTIVO, al configurar una cuenta de correo con tu dominio, el DKIM se activa desde el panel y te indica exactamente qué registro añadir.

DMARC: qué hacer cuando SPF o DKIM fallan

DMARC es la política que indica a los servidores destinatarios qué hacer con emails que no pasan SPF o DKIM. Se configura como registro TXT en el DNS:

v=DMARC1; p=quarantine; rua=mailto:dmarc@tudominio.com

p=quarantine manda los sospechosos a spam. p=reject los rechaza directamente. El parámetro rua indica dónde recibir los informes sobre qué correos pasan o no la autenticación.

El orden correcto de implementación

Empieza por SPF, luego activa DKIM, y cuando ambos lleven unos días funcionando bien añade DMARC con p=none (solo monitorización). Revisa los informes durante unas semanas para confirmar que no hay fuentes legítimas sin autenticar. Después pasa a p=quarantine y finalmente a p=reject.

Si alguien usa tu dominio para enviar correos falsos, puedes leer más en nuestro artículo sobre qué hacer si alguien envía correos con tu dominio.