SPF, DKIM y DMARC son tres registros DNS que responden a una sola pregunta para cada proveedor de buzones al que envías: ¿este mensaje procede realmente de quien dice ser? Si los configuras bien, los proveedores confían en tu correo lo bastante como para plantearse ponerlo en la bandeja de entrada. Si los configuras mal —o los omites—, desde 2024 los grandes proveedores lo rechazarán cada vez más de plano. Esto es lo que hace cada uno, en términos claros.
La respuesta breve#
Los tres registros se reparten la tarea de demostrar tu identidad:
- SPF indica qué servidores están autorizados a enviar correo en nombre de tu dominio.
- DKIM añade una firma criptográfica que demuestra que el mensaje no fue falsificado ni alterado en tránsito.
- DMARC vincula ambos a la dirección "From" visible, indica a los proveedores qué hacer cuando un mensaje falla y te envía informes.
Juntos permiten que un receptor confirme que tu correo es realmente tuyo. Desde los requisitos para remitentes de 2024 de Google y Yahoo, los remitentes masivos deben tener los tres: esto ya no es opcional. Pero la autenticación solo hace que tu correo se tenga en cuenta para la bandeja de entrada; la reputación y la higiene de la lista deciden si llega a ella.
SPF: quién está autorizado a enviar#
SPF (Sender Policy Framework) es un registro TXT que enumera los servidores y servicios autorizados a enviar correo usando tu dominio. Cuando un receptor recibe un mensaje, comprueba la IP del servidor emisor contra tu registro SPF:
example.com. TXT "v=spf1 include:_spf.google.com include:sendgrid.net ~all"
El ~all del final es un soft-fail (aceptar pero marcar como sospechoso); -all es
un hard-fail (rechazar de plano a los remitentes no autorizados). Cada servicio que
envía en tu nombre necesita su propio mecanismo include: en ese registro, así que
genera el registro SPF exacto de tu proveedor en
lugar de editar la cadena a mano. Un detalle que conviene conocer: SPF comprueba el
remitente del sobre (envelope), no el "From" visible, y se rompe cuando el correo
se reenvía, porque el servidor que reenvía no está en tu registro. Esa fragilidad es
precisamente la razón por la que DKIM y DMARC existen junto a él.
DKIM: una firma que demuestra la integridad#
DKIM (DomainKeys Identified Mail) adjunta una firma criptográfica a cada mensaje. Tu sistema de envío firma el mensaje con una clave privada; tú publicas la clave pública correspondiente en el DNS bajo un selector con nombre:
selector1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIGfMA0G..."
El receptor obtiene la clave pública, verifica la firma y averigua dos cosas: que el mensaje procede realmente de tu dominio y que no fue alterado en tránsito. A diferencia de SPF, una firma DKIM viaja con el mensaje, por lo que normalmente sobrevive al reenvío, lo que la convierte en la más robusta de las dos comprobaciones.
DMARC: la política que lo une todo#
DMARC (Domain-based Message Authentication, Reporting and Conformance) es el registro que da sentido a SPF y DKIM. Hace tres cosas: establece una política para los mensajes que fallan, exige alineación entre el dominio autenticado y el "From" visible, y te envía informes.
_dmarc.example.com. TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com"
El valor de p es la instrucción para los receptores:
p=none— solo monitorizar; no tomar ninguna medida, solo enviar informes. Empieza aquí.p=quarantine— enviar el correo que falla a spam.p=reject— rechazar de plano el correo que falla.
La alineación es la parte que detiene la suplantación: un mensaje supera DMARC solo
si el dominio que superó SPF o DKIM coincide con el dominio de la cabecera "From".
Deben configurarse tanto SPF como DKIM, pero solo uno necesita alinearse. Empieza en
p=none, lee los informes agregados hasta que tengas la certeza de que todos los
flujos legítimos se autentican, y luego endurece a quarantine y finalmente a
reject.
Por qué esto ya es obligatorio#
La autenticación solía ser una buena práctica; desde 2024 es una barrera. Según los
requisitos para remitentes de Google,
cualquiera que envíe a Gmail necesita al menos SPF o DKIM y debe mantener su tasa de
spam en Postmaster Tools por debajo del 0,3 %, y los remitentes masivos —más
de 5.000 mensajes al día a Gmail— deben tener SPF, DKIM y DMARC (con alineación),
además de la baja con un solo clic en el correo de marketing. Yahoo introdujo
requisitos equivalentes al mismo tiempo, y Google ha ido intensificando la
aplicación —incluidos rechazos del correo que no cumple— desde finales de 2025.
Requisitos anteriores verificados por última vez contra las directrices de Google, julio de 2026.
La conclusión práctica: si envías correo de marketing o transaccional a cualquier volumen, los tres registros son ahora un requisito básico, no un extra deseable.
La autenticación no es la entregabilidad#
Aquí está el límite honesto, porque a la gente le confunde. Superar SPF, DKIM y DMARC demuestra quién eres, no demuestra que seas un buen remitente. Un mensaje perfectamente autenticado desde un dominio con una mala reputación de remitente, una lista llena de trampas de spam o una tasa de rebote en aumento seguirá acabando en spam. Los proveedores comprueban primero la autenticación —sin ella no hay confianza— y luego sopesan la reputación y la interacción para decidir la ubicación.
Así que trata la autenticación como la entrada, no como el partido entero. Configura correctamente los tres registros y luego haz el trabajo que de verdad te gana la bandeja de entrada: verifica tu lista para no enviar a direcciones muertas, mantén bajos los rebotes y las quejas, y envía a personas que quieren tu correo. La guía de entregabilidad cubre el resto de las palancas.
Preguntas frecuentes#
¿Necesito los tres: SPF, DKIM y DMARC?#
Para cualquier volumen de envío real, sí. Google y Yahoo exigen SPF o DKIM a todos los remitentes, y los tres a los remitentes masivos (más de 5.000 mensajes al día) desde 2024, y DMARC es lo que hace que los otros dos sean exigibles frente a la suplantación. Incluso por debajo del umbral de envío masivo, tener los tres es ya el mínimo que esperan los proveedores.
¿Cuál es la diferencia entre SPF y DKIM?#
SPF autoriza qué servidores pueden enviar en nombre de tu dominio y se comprueba contra la IP de envío; DKIM firma criptográficamente el mensaje para que el receptor pueda confirmar que procede de ti y que no ha sido alterado. SPF es más sencillo, pero se rompe al reenviar; DKIM viaja con el mensaje y sobrevive a él. Cubren modos de fallo distintos, y por eso conviene tener ambos.
¿Qué significa DMARC p=none y es suficiente?#
p=none indica a los receptores que no tomen ninguna medida con el correo que falla
y que simplemente te envíen informes: es el punto de partida seguro para la
monitorización, pero no ofrece protección alguna contra la suplantación. Es un primer
paso, no un destino: usa los informes para confirmar que tu correo legítimo se
autentica y luego pasa a p=quarantine y p=reject para aplicar la política de
verdad.
¿Superar la autenticación garantiza que mi correo llegue a la bandeja de entrada?#
No. La autenticación es necesaria, pero no suficiente. Demuestra tu identidad, lo que hace que tu correo se tenga en cuenta, pero la ubicación la deciden la reputación del remitente, la interacción, las tasas de quejas y la calidad de la lista. Un remitente plenamente autenticado, pero con una lista sucia o una mala reputación, sigue acabando en spam.
La autenticación te lleva hasta la puerta; la higiene de la lista ayuda a cruzarla. El verificador de correo gratuito detecta dominios muertos y erratas antes de que reboten, y el plan gratuito ejecuta todo el proceso de verificación sobre tu lista, porque las listas limpias y las tasas de rebote bajas son lo que convierte una identidad de confianza en llegar a la bandeja de entrada.
