Por Fran Navoz en Nicalia, Productos y servicios
13 de octubre de 2026
Mandas un presupuesto el lunes y el jueves el cliente te pregunta si te has olvidado de él. Estaba en su carpeta de spam. Tú recibes bien, nadie ha tocado nada, pero lo que envías no llega donde debería. Casi siempre detrás de eso hay tres registros DNS: SPF, DKIM y DMARC.
Aquí vas a ver qué hace cada uno, en qué orden ponerlos y qué mirar entre uno y otro, que es lo que de verdad te ahorra disgustos.
Desde febrero de 2024 Gmail y Yahoo exigen que cualquier remitente autentique su correo con SPF o DKIM, y a quien envía mucho le piden además DMARC. Microsoft hizo lo mismo en mayo de 2025 para Outlook.com y Hotmail. Y desde noviembre de 2025 Google rechaza directamente parte del correo que no cumple, en vez de mandarlo a spam.
Va antes que cualquier registro, porque tu dominio envía correo desde más sitios de los que crees:
Apúntalo en una tabla sencilla antes de tocar el DNS:
| Servicio | Qué envía | Desde qué dirección | ¿Permite DKIM con tu dominio? |
|---|---|---|---|
| Hosting (web) | Formularios, avisos | web@tudominio.com | |
| Correo | Correo del día a día | tú@tudominio.com | |
| Newsletter | Boletines | info@tudominio.com | |
| Tienda | Pedidos, facturas | pedidos@tudominio.com |
Si te saltas esto, el SPF que publiques va a dejar fuera a alguien que sí debería poder enviar, y te enterarás cuando un cliente te diga que no le llegan las facturas los mensajes.
Si mandas newsletters de miles de destinatarios desde tu cuenta de correo, el problema no son los registros: necesitas una herramienta de email marketing que gestione bajas, rebotes y reputación, y autenticarla como hemos visto.
El SPF es un registro TXT en tu zona DNS con la lista de servidores autorizados a enviar correo con tu dominio. Cuando llega un mensaje, el servidor que lo recibe mira esa lista y comprueba si quien se lo entrega está en ella.
Tiene tres trampas en las que cae casi todo el mundo.
Si añades un servicio nuevo y su guía te dice «crea este registro TXT», lo normal es pegarlo tal cual y acabar con dos registros que empiezan por v=spf1. Dos SPF no se suman. El estándar trata ese caso como un error permanente y tu dominio se queda sin SPF válido.
Lo correcto es ampliar el que ya tienes. Si tienes esto:
v=spf1 +a +mx ip4:203.0.113.10 include:relay.mailchannels.net ~ally tu herramienta de newsletter te pide include:spf.ejemplo-newsletter.com, lo añades dentro, antes del ~all:
v=spf1 +a +mx ip4:203.0.113.10 include:relay.mailchannels.net include:spf.ejemplo-newsletter.com ~allCómo editar el registro paso a paso lo tienes en nuestra guía del editor de zona DNS, y en Configuración de DNS para un dominio verás la plantilla completa de registros de correo.
Para evaluar tu SPF el servidor que recibe el correo puede hacer como mucho diez consultas DNS. Cuentan los include, pero también a, mx, exists y redirect, y los include que haya dentro de otros include. Las direcciones ip4 e ip6 no cuentan.
En el ejemplo de arriba ya llevas tres (a, mx y el include del relay). La mayoría de servicios grandes cuestan una consulta cada uno, pero algunos encadenan varias por dentro, y al sumar newsletter, tienda, CRM y facturación es fácil pasarse sin darte cuenta. Cuando ocurre, el SPF da error y deja de servir, y nadie te avisa.
Para contarlas, pega tu dominio en cualquier comprobador de SPF online: te dirá cuántas consultas hace. Si te pasas, lo primero es quitar lo que ya no usas. Después, para servicios que envían desde unas pocas IP fijas, puedes poner esas IP con ip4: en vez del include, sabiendo que si el proveedor cambia de IP tendrás que actualizarlas tú.
El final del registro dice qué hacer con lo que no está en la lista. Con -all le dices al receptor que lo rechace y con ~all que lo trate como sospechoso.
Empieza con ~all mientras completas el inventario: si te has dejado algún servicio, su correo irá a spam en vez de rebotar. Con DMARC funcionando y la lista cerrada, pasa a -all.
DKIM añade a cada correo una firma digital. El servidor que envía firma el mensaje con una clave privada y tú publicas la clave pública en tu DNS, en un registro con un nombre del tipo selector._domainkey.tudominio.com. El receptor usa esa clave para comprobar dos cosas: que el mensaje no se ha modificado por el camino y qué dominio lo firmó.
Ojo con lo segundo: el dominio que firma no tiene por qué ser el que aparece en el remitente. Volveremos a ello en la alineación.
Lo que importa en la práctica es que DKIM se activa en cada servicio por separado. Que tu correo firme con DKIM no hace que tu tienda online o tu herramienta de newsletter también lo hagan. Vuelve a la tabla del inventario y, servicio por servicio, busca en su configuración la opción de «autenticar dominio» o «DKIM personalizado». Normalmente te darán uno o dos registros para añadir a tu zona DNS.
En los hostings con cPanel puedes ver tus registros SPF y DKIM en Correo electrónico → Email Deliverability. Lo explicamos en Ver SPF y DKIM.
Aquí está la explicación de la mayoría de los «lo tengo todo puesto y sigue fallando», y casi nadie la cuenta en español.
DMARC no se conforma con que SPF o DKIM den el visto bueno. Exige que el dominio validado coincida con el dominio que ve el destinatario en el remitente (el campo From). A eso se le llama alineación, y basta con que uno de los dos, SPF o DKIM, pase y esté alineado.
El caso típico es una herramienta externa que envía con tu nombre en el From pero usa su propio dominio para todo lo demás. El SPF se comprueba contra la dirección de retorno, que es de la herramienta, así que pasa pero no está alineado. Si además firma con DKIM usando su dominio y no el tuyo, DKIM tampoco está alineado. Resultado: SPF pasa, DKIM pasa y DMARC falla.
Se ve muy claro en la cabecera del mensaje. En Gmail abre el correo, pulsa los tres puntos y elige «Mostrar original». Busca la línea Authentication-Results. Un mensaje bien configurado tiene esta pinta:
Authentication-Results: mx.google.com;
dkim=pass header.i=@tudominio.com header.s=default;
spf=pass smtp.mailfrom=facturas@tudominio.com;
dmarc=pass header.from=tudominio.comLos tres dominios coinciden con el del From. Ahora compáralo con este:
Authentication-Results: mx.google.com;
dkim=pass header.i=@envios-herramienta.net;
spf=pass smtp.mailfrom=rebotes@envios-herramienta.net;
dmarc=fail header.from=tudominio.comDKIM y SPF dicen pass, pero los dos validan envios-herramienta.net y el remitente es tudominio.com. Casi siempre se arregla activando en esa herramienta el DKIM con tu propio dominio.
Por defecto la alineación es relajada y un subdominio cuenta como tu dominio. Si tu newsletter firma como news.tudominio.com y el From es info@tudominio.com, está alineado.
DMARC es un registro TXT en _dmarc.tudominio.com que hace dos cosas: le dice al receptor qué hacer con el correo que falla la comprobación y le pide que te mande informes de lo que ha visto.
La forma más rápida de romperte el correo tú solo es publicar p=reject el primer día, antes de saber quién envía en tu nombre. Si te habías olvidado de la tienda, a partir de ese momento sus facturas rebotan y no te enteras hasta que alguien protesta.
Hazlo por fases:
| Fase | Registro | Cuánto tiempo | Qué miras |
|---|---|---|---|
| 1 | v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com |
2 a 4 semanas | Quién envía de verdad en tu nombre |
| 2 | v=DMARC1; p=quarantine; rua=mailto:dmarc@tudominio.com |
2 a 4 semanas | Que ningún correo legítimo acaba en spam |
| 3 | v=DMARC1; p=reject; rua=mailto:dmarc@tudominio.com |
Indefinido | Solo si la fase 2 salió limpia |
En la fase 1 el correo se entrega igual que antes, pero empiezas a recibir informes que te enseñan qué servicios te faltaban en el inventario. No pases a la 2 hasta que todos los envíos legítimos salgan con SPF o DKIM alineado.
Si has leído guías antiguas que usan pct=10 para ir subiendo el porcentaje poco a poco, olvídate de esa etiqueta. La nueva versión del estándar DMARC, publicada en mayo de 2026, la elimina porque cada servidor la aplicaba a su manera. En su lugar existe t=y, un modo de prueba, pero muchos servidores todavía no lo reconocen, así que no te fíes de él como red de seguridad. Por eso mismo, si tu registro actual lleva pct, rf o ri, puedes quitarlas.
Para crear el registro en cPanel tienes la guía Cómo añadir un registro DMARC. Asegúrate de incluir la etiqueta rua con una dirección que revises, porque sin ella no recibes informes y la fase 1 no sirve de nada.
Llegan por correo, normalmente uno al día por proveedor, como un adjunto .zip o .gz con un XML dentro. Descomprímelo, ábrelo con el navegador y mira tres cosas en cada bloque <record>:
<source_ip> y <count>: desde qué IP se enviaron y cuántos mensajes. Si una IP no te suena, búscala; casi siempre es un servicio de tu inventario que no tenías apuntado.<policy_evaluated>: el resultado de DKIM y SPF ya con la alineación aplicada. Si los dos dicen fail, ese envío fallaría DMARC.<auth_results>: qué dominio validó cada mecanismo. Aquí ves si el fallo es de alineación, por ejemplo un DKIM que pasa con el dominio de otro.Si una IP desconocida envía cientos de mensajes en tu nombre y no es de ningún servicio tuyo, eso es alguien suplantándote. Justo lo que DMARC en reject va a cortar.
| Lo que ves | Causa probable |
|---|---|
| Llega a spam en Gmail y bien en otros | Falta DKIM o DMARC, o la alineación está rota |
| Las facturas de la tienda no llegan | El servidor de la web no está en el SPF, o la tienda no firma con DKIM |
| Desde Thunderbird llega, desde la web no | Son dos canales de envío y solo uno está autenticado |
| Empezó a fallar al contratar newsletter | Hay dos registros SPF, o te has pasado de diez consultas |
Si no llegan las facturas, antes de tocar el DNS comprueba si salieron del servidor con Monitorizar envío de emails de cPanel. Si aparecen rechazadas, el error suele decir qué falló.
Los tres registros son necesarios, pero no bastan. Le dicen al receptor que el correo es tuyo de verdad, y a partir de ahí lo que decide si va a la bandeja de entrada es tu reputación.
No arreglan un contenido que parece spam, ni una lista de contactos comprada, ni un historial de quejas. Gmail pide mantener la tasa de spam por debajo del 0,3 % y recomienda no pasar del 0,1 %. Si muchos destinatarios marcan tus mensajes como spam, da igual lo bien que tengas el DNS.
Tampoco arreglan usar el canal equivocado. El hosting está pensado para el correo de tu día a día y para los avisos de tu web, y por eso tiene límite de envío (en Nicalia son 480 correos cada 15 minutos). Si mandas newsletters de miles de destinatarios desde tu cuenta de correo, el problema no son los registros: necesitas una herramienta de email marketing que gestione bajas, rebotes y reputación, y autenticarla como hemos visto.
En Mac o Linux abre un terminal; en Windows usa nslookup en la consola. Cambia tudominio.com por el tuyo.
1. SPF
dig +short TXT tudominio.com
nslookup -type=TXT tudominio.comDebe salir un único registro que empiece por v=spf1 y termine en ~all o -all. Si salen dos, ya sabes el problema.
2. DKIM
dig +short TXT default._domainkey.tudominio.com
nslookup -type=TXT default._domainkey.tudominio.comDebe devolver una clave larga después de p=, a veces precedida de v=DKIM1 y k=rsa. default es el selector habitual en cPanel; otros servicios usan el suyo, y lo encontrarás en su panel o en la cabecera del mensaje (header.s= o s=).
3. DMARC
dig +short TXT _dmarc.tudominio.com
nslookup -type=TXT _dmarc.tudominio.comDebe devolver un registro que empiece por v=DMARC1, con una política p= y una dirección rua=.
4. La prueba real
Envíate un correo a una cuenta de Gmail desde cada canal de tu inventario: tu programa de correo, el formulario de la web, un pedido de prueba en la tienda y un boletín de prueba. Abre cada uno con «Mostrar original» y busca en Authentication-Results que pone dmarc=pass. Si alguno dice fail, ya sabes qué servicio tienes que revisar.
¿Necesito DMARC si envío pocos correos? Gmail y Yahoo solo lo exigen a quien envía en grandes cantidades, pero te conviene igual. Es lo único que impide que otro envíe correo haciéndose pasar por tu dominio, y sus informes te dicen quién lo está intentando.
¿Puedo tener dos registros SPF si uno es para la web y otro para la newsletter? No. Solo puede haber uno por dominio. Si hay dos, los servidores dan el SPF por erróneo. Junta todos los servicios en un único registro.
¿Cuánto tardan en aplicarse los cambios? Los cambios de DNS suelen verse en una a cuatro horas, aunque pueden tardar hasta 48. Los informes DMARC empiezan a llegar uno o dos días después de publicar el registro.
¿Qué diferencia hay entre p=quarantine y p=reject? Con quarantine el correo que falla DMARC va a la carpeta de spam; con reject el servidor lo rechaza y no llega a entregarse. Empieza siempre por none, pasa a quarantine y deja reject para cuando los informes salgan limpios.
Mi correo pasa SPF, DKIM y DMARC y sigue yendo a spam. ¿Por qué? Porque la autenticación solo demuestra que el correo es tuyo. Si el contenido parece publicidad masiva, si envías a direcciones que no te han dado permiso o si muchos destinatarios te marcan como spam, tu reputación baja y los filtros actúan igual.
Fran Navoz