SPF, DKIM y DMARC: cómo autenticar tu dominio para que tu correo no caiga en spam
La causa técnica número uno de que tus correos caigan al spam —o ni lleguen— es la autenticación. Qué son SPF, DKIM y DMARC en simple, la trampa de la alineación, y cómo activarlos sin bloquear tu propio correo.
Tu correo dice “enviado” pero el cliente jura que no le llegó. Antes de revisar el texto o la lista, revisa lo de abajo: la causa técnica número uno de que un correo caiga al spam —o ni siquiera entre— es la autenticación del dominio. Y desde 2024 dejó de ser opcional. Esta guía explica en simple qué son SPF, DKIM y DMARC, por qué los tres juntos importan, y cómo activarlos sin bloquearte a ti mismo.
La buena noticia: son registros que se configuran una sola vez en el DNS de tu dominio. No es trabajo de todos los días; es ponerlos bien y mantenerlos.
Qué pasa si no los tienes (la realidad de 2026)
Gmail y Yahoo volvieron obligatoria la autenticación en febrero de 2024 para quien envía a volumen; Microsoft (Outlook, Hotmail, Live) se sumó en mayo de 2025. Y ya no es solo “te mando a spam”: desde noviembre de 2025 Gmail rechaza a nivel de servidor los correos no autenticados —ni siquiera llegan a la carpeta de spam, rebotan—.
Se considera “remitente masivo” a quien envía 5.000 o más correos al día a un mismo proveedor (las direcciones personales de Gmail, por ejemplo). Y un detalle clave: si cruzas ese umbral una vez, quedas clasificado como masivo de forma permanente, aunque luego bajes el volumen. La recomendación de los tres proveedores es clara: cualquiera que envíe en serio debería tener los tres, sin importar el tamaño.
SPF: quién puede enviar en tu nombre
SPF (Sender Policy Framework) es una lista, publicada en tu DNS, de los servidores autorizados a enviar correo usando tu dominio. Cuando un correo llega, el proveedor mira de qué servidor salió y lo compara con tu lista. Si la IP no está, levanta sospecha.
En la práctica es un registro TXT en la raíz de tu dominio que incluye a tu proveedor de envío. Tres cosas que casi nadie cuida:
- El límite de 10 consultas DNS. Un registro SPF solo puede disparar 10 búsquedas. Si encadenas muchas herramientas (tu plataforma de correo, el CRM, la facturación, Google Workspace…), te pasas, SPF da
PermErrory falla por completo. Hay que auditarlo y consolidarlo. ~allantes que-all. El final del registro define qué tan estricto eres. Empieza con~all(sospecha suave) y endurece a-all(rechazo) solo después de confirmar que todo tu correo legítimo pasa. Endurecer antes de tiempo bloquea tus propios envíos.- SPF se rompe al reenviar. Si alguien reenvía tu correo, la IP del reenviador no está en tu lista y SPF falla. Por eso SPF solo no alcanza: hace falta DKIM.
DKIM: el sello que prueba que el correo es tuyo
DKIM (DomainKeys Identified Mail) le pone a cada mensaje una firma criptográfica. La clave privada la guarda tu proveedor de envío; la pública vive en tu DNS. El receptor verifica la firma y confirma dos cosas: que el correo salió de verdad de tu dominio y que nadie lo alteró en el camino.
Lo importante en simple:
- Usa una clave de 2048 bits (la opción alta). Yahoo rechaza las claves viejas de 512 bits aunque todo lo demás esté bien.
- A diferencia de SPF, DKIM sobrevive al reenvío. Por eso es el pilar de la autenticación moderna.
- Conviene rotar la clave una vez al año; la mayoría de proveedores lo automatiza.
DMARC: la regla que une todo (y te avisa)
DMARC es la instrucción que le dice al proveedor qué hacer cuando un correo dice ser tuyo pero no pasa SPF ni DKIM. Tiene tres niveles de política:
p=none— solo observa. No bloquea nada; te manda reportes. Es el punto de partida.p=quarantine— manda lo que falla a la carpeta de spam.p=reject— rechaza el correo que falla. Máxima protección contra suplantación.
Además, DMARC te envía reportes (la etiqueta rua): un resumen diario de quién está enviando —o falsificando— con tu dominio. Es oro: descubres servicios legítimos que olvidaste autorizar y, de paso, a los impostores.
p=none te deja “en regla” para empezar, pero los proveedores ya avisaron que es solo la primera fase: quedarse ahí para siempre es una mala señal de confianza. La meta de una marca seria en 2026 es avanzar al menos a p=quarantine.
La trampa que rompe casi todos los montajes: la alineación
Aquí cae la mayoría. No basta con que SPF o DKIM “pasen”: el dominio que el cliente ve en el campo De: tiene que coincidir (alinearse) con el dominio que validó SPF o DKIM. Un SPF que técnicamente pasa pero que no alinea con tu De: igual hace fallar DMARC.
Es el error más común cuando usas varias plataformas: el correo sale “bien firmado”, pero por otro dominio, y DMARC lo marca como sospechoso. Si ves errores como 421-4.7.32 (Gmail) o 550 5.7.515 (Microsoft), casi siempre es alineación.
Cómo desplegarlo sin bloquear tu propio correo
El orden importa, porque hacerlo mal te deja sin enviar:
- SPF en la raíz, incluyendo a tu proveedor de envío, terminando en
~ally por debajo de 10 consultas DNS. - DKIM con clave de 2048 bits, publicando en tu DNS el registro que te da tu proveedor.
- DMARC en
_dmarc.tudominio, empezando enp=noneconruaapuntando a un buzón que revises. Algo como:v=DMARC1; p=none; rua=mailto:[email protected]; aspf=r; adkim=r. - Observa los reportes una a cuatro semanas. Cuando confirmes que todo tu correo legítimo pasa y alinea, sube a
p=quarantiney, más adelante, ap=reject(y endurece SPF a-all).
Un olvido frecuente: el DMARC de tudominio.com no cubre los subdominios. Si envías desde correo.tudominio.com, ese subdominio necesita su propio registro.
No olvides la baja en un clic
Junto con la autenticación, los proveedores exigen baja en un clic para el correo masivo. Y ojo: no es el enlace de “darse de baja” al pie del correo. Es un par de encabezados técnicos (List-Unsubscribe y List-Unsubscribe-Post, según el RFC 8058) que permiten a Gmail mostrar un botón de “Anular suscripción” arriba del mensaje. Es, de hecho, el requisito que más senders incumplen. Ponérselo fácil a quien se quiere ir reduce las quejas de spam —y, en Panamá, te ayuda a respetar el derecho de oposición que exige la Ley 81—.
Cómo sé si está bien
No lo adivines: mídelo. Registra tu dominio en Google Postmaster Tools (y en los paneles de Yahoo y Microsoft) para ver tu autenticación y tu tasa de quejas como la ven ellos. Hay verificadores gratuitos de SPF, DKIM y DMARC para una foto rápida. Y recuerda el número que lo gobierna todo: tu tasa de quejas debe quedar por debajo del 0,3% —idealmente cerca del 0,1%—.
El panorama completo de qué es la entregabilidad, las reglas de Gmail y Yahoo y la reputación está en nuestra guía de entregabilidad de email.
En Panamá: cómo lo resolvemos
Configurar SPF, DKIM y DMARC bien —alineados, sin pasarte de las 10 consultas, con la política subiendo por fases y los reportes vigilados— es justo el tipo de detalle técnico que hunde campañas cuando se hace a medias. En nuestro servicio de entregabilidad lo dejamos montado y monitoreado por ti: autenticación alineada, baja en un clic, reputación cuidada y la política DMARC avanzando hasta donde tu correo lo aguante sin bloquearse.
¿No sabes en qué estado está tu dominio hoy? Empieza por el diagnóstico gratis: te decimos si tu autenticación pasa, dónde alinea mal y qué arreglar primero.