Cómo configurar SPF, DKIM y DMARC en Bluehost

Configurar SPF, DKIM y DMARC en Bluehost es en realidad una sola tarea hecha tres veces: añades un registro TXT en el editor de DNS de Bluehost, y lo único que cambia en cada ronda es lo que va en el campo del host y el valor que pegas. Los tres registros en sí no son específicos de Bluehost: SPF, DKIM y DMARC funcionan igual sin importar quién gestione tu DNS. Lo que sí es específico de Bluehost es dónde se encuentra el editor, qué espera el campo host/nombre para el dominio raíz frente a _dmarc frente a un selector DKIM, y un detalle que hace tropezar a muchos clientes de Bluehost: como Bluehost aloja tantísimos sitios de WordPress, tu dominio suele tener ya un registro SPF que debes fusionar en lugar de duplicar. Esta guía recorre los tres.

La versión corta#

Los tres son registros TXT que añades en el mismo sitio. Lo que difiere es el nombre del host y de dónde procede el valor:

• SPF — un registro TXT en el dominio raíz (host @), con un valor que empieza por v=spf1. Créalo con el generador de registros SPF. Publica solo uno.
• DKIM — un registro TXT en <selector>._domainkey, donde tanto el selector como el largo valor te los facilita tu proveedor de correo. Este nunca lo escribes tú.
• DMARC — un registro TXT en _dmarc, con un valor que empieza por v=DMARC1. Créalo con el generador de registros DMARC y empieza siempre en p=none.

Dónde guarda Bluehost tus registros DNS#

Inicia sesión en tu cuenta de Bluehost, abre la sección Dominios y selecciona el dominio desde el que envías correo. En algún punto de la pantalla de gestión de ese dominio hay una sección de DNS —Bluehost la ha llamado Editor de Zona DNS en el pasado y simplemente «DNS» en el gestor de cuentas más reciente—. Ábrela y verás los registros existentes de la zona: el registro A de tu sitio, los registros MX del correo y, a menudo, uno o dos registros TXT que ya están ahí.

Cuando añades un registro, Bluehost muestra un pequeño formulario: un desplegable de Tipo (elige TXT), un campo Host o Nombre, el Valor TXT y un TTL. Deja el TTL en su valor por defecto: solo determina cuánto tiempo almacenan en caché el registro los resolutores. Los dos campos que importan son el host y el valor, y acertar con el host es lo que lo decide todo.

Bluehost añade tu dominio a lo que pongas en el campo del host, así que @ significa el propio dominio raíz, y _dmarc se convierte en _dmarc.tudominio.com. No escribas el dominio completo en el campo del host o acabarás con un nombre duplicado como _dmarc.tudominio.com.tudominio.com.

Añadir tu registro SPF en Bluehost#

SPF enumera los servidores autorizados a enviar correo usando tu dominio. Este es el registro donde muerde el detalle de Bluehost/WordPress, así que lee esta sección antes de tocar nada.

Primero, comprueba si ya existe un registro SPF. En la lista de DNS, busca un registro TXT en el dominio raíz cuyo valor empiece por v=spf1. En el alojamiento de Bluehost muy a menudo ya hay uno: la plataforma aprovisiona con frecuencia un registro SPF para que el correo del propio servidor (notificaciones de WordPress, mensajes de formularios de contacto, correo de cPanel) se autentique. Suele tener un aspecto parecido a este:

v=spf1 +a +mx +ip4:XXX.XXX.XXX.XXX ~all

Si ese registro existe y ahora quieres enviar a través de un proveedor de correo —Google Workspace, un ESP de marketing, un servicio transaccional—, debes fusionar su include en el registro que ya tienes. No añadas un segundo registro SPF: un dominio solo puede publicar uno, y un segundo hace que ambos sean inválidos, de modo que el SPF falla para todo el mundo. Este es el error de SPF más común en Bluehost.

Un registro fusionado conserva los mecanismos existentes y añade el include del proveedor antes del all final:

v=spf1 +a +mx +ip4:XXX.XXX.XXX.XXX include:_spf.google.com ~all

Si no existe ningún registro SPF, empiezas de cero: haz clic en Añadir Registro, elige TXT, fija el host en @ y pega un registro que enumere solo las fuentes que realmente usas. Deja que el generador de registros SPF lo monte: eliges tus proveedores y genera un único registro válido con los includes en el orden correcto, lo cual es más seguro que editarlo a mano.

El ~all del final es un fallo suave (acepta pero marca como sospechoso); -all es un fallo estricto. El fallo suave es el valor predeterminado seguro mientras confirmas que todos los remitentes legítimos están incluidos.

Añadir tu registro DKIM en Bluehost#

DKIM publica una clave pública para que los receptores puedan verificar una firma que tu proveedor añade a cada mensaje. Lo importante que hay que entender: tanto el selector como el valor proceden de tu proveedor de correo, no de Bluehost ni de ti. No puedes inventarte un registro DKIM: activa DKIM en la consola de administración de tu ESP o proveedor de buzones y te mostrará exactamente qué publicar.

Lo que tu proveedor te da es un host y un valor con este aspecto:

Host:  s1._domainkey
Value: v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQ…(clave larga)…

El selector es la parte anterior a ._domainkey —aquí s1, pero podría ser google, k1, dkim, selector1 o cualquier otra cosa que tu proveedor haya elegido—. En Bluehost, haz clic en Añadir Registro, elige TXT, pon toda la cadena del host (s1._domainkey) en el campo Host/Nombre y pega el valor del proveedor exactamente como se te da en el campo Valor TXT. Copia la clave entera: es larga, y una clave truncada falla la verificación de forma silenciosa.

Si envías a través de más de un servicio, cada uno te da su propio selector, así que tener dos o tres registros _domainkey separados es normal: a diferencia de SPF, DKIM no está limitado a un registro por dominio, porque cada uno reside en su propio host de selector.

Añadir tu registro DMARC en Bluehost#

DMARC vincula SPF y DKIM con la dirección «De» visible, indica a los receptores qué hacer con el correo que falla y te envía informes. Es un único registro TXT en el host _dmarc.

Haz clic en Añadir Registro, elige TXT, fija el campo Host/Nombre en _dmarc (Bluehost añade tu dominio para formar _dmarc.tudominio.com) y pega un valor de partida:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

p=none es intencionado. No cambia nada en cómo se gestiona tu correo: solo activa los informes agregados diarios para que puedas observar qué remitentes pasan y cuáles fallan antes de aplicar nada. Publicar p=reject el primer día, con DKIM recién añadido y SPF quizá aún sin algún remitente, es como la gente envía sin querer su propio correo a spam. El generador de registros DMARC creará un registro de partida correcto y fijará la dirección de informes por ti.

Una vez que los informes han estado limpios durante un par de semanas —cada flujo legítimo pasando con SPF o DKIM alineado—, subes la política a p=quarantine y finalmente a p=reject. La secuencia completa, incluido cómo funciona la alineación y cómo evitar los errores clásicos, está en la guía paso a paso de despliegue de DMARC, y una vez que empiecen a llegar los informes, cómo leer los informes DMARC explica qué te está diciendo el XML.

Verifica que los registros se resuelven#

Los cambios de DNS en Bluehost suelen aparecer en cuestión de minutos, pero pueden tardar unas horas en propagarse, así que no te alarmes si una consulta vuelve vacía al principio. Cuando estés listo, pasa los tres por el verificador de SPF, DKIM y DMARC. Te dice si se encuentra cada registro, si es sintácticamente válido y —de forma crítica para SPF— si has publicado sin querer más de un registro o has superado el límite de diez consultas DNS que pueden desencadenar demasiados include.

Algunas cosas que el verificador detectará y que es fácil pasar por alto en Bluehost:

• Un segundo registro SPF residual del predeterminado de la plataforma conviviendo junto al que añadiste. Fusiónalos en uno.
• Una clave DKIM que se truncó al pegarla, o un selector que no coincide con el que tu proveedor está firmando realmente.
• Un host _dmarc que Bluehost expandió de forma extraña, dejando el registro con el nombre equivocado.

Por qué molestarse — la base de referencia de 2026#

Esto no es mero mantenimiento. Según los requisitos para remitentes de Google y Yahoo, todo remitente necesita al menos SPF o DKIM, y los remitentes masivos —más de 5.000 mensajes al día a Gmail— deben tener los tres, más alineación y baja con un clic. Configurar bien los tres en Bluehost es lo que permite que los receptores confíen en que tu correo es genuinamente tuyo, pero es la entrada, no todo el espectáculo. La autenticación demuestra la identidad; tu reputación como remitente y la calidad de tu lista deciden si llegas a la bandeja de entrada.

Preguntas frecuentes#

¿Dónde añado los registros SPF, DKIM y DMARC en Bluehost?#

Los tres van en el editor de DNS de tu dominio. Inicia sesión, abre la sección Dominios, selecciona el dominio y localiza su apartado de DNS o Editor de Zona; después usa Añadir Registro y elige TXT. Fija el Host/Nombre en @ para SPF, en selector._domainkey para DKIM y en _dmarc para DMARC, y pega cada valor. Bluehost ha reorganizado su panel de control más de una vez, así que las etiquetas exactas pueden variar o haberse desplazado, pero siempre estarás buscando el editor de DNS de cada dominio y un tipo de registro TXT.

Bluehost ya tiene un registro SPF: ¿añado otro?#

No. Un dominio solo puede publicar un registro SPF, y un segundo invalida ambos. Bluehost suele aprovisionar un registro SPF predeterminado para el correo del propio servidor, de modo que, cuando añades un proveedor de correo, editas ese registro existente y fusionas en él el include del proveedor; por ejemplo, añadiendo include:_spf.google.com antes del ~all final. Usa el generador de registros SPF para montar un único registro correcto y después pégalo sobre el valor antiguo en lugar de crear una entrada nueva.

¿Qué pongo en el campo del host para DMARC en Bluehost?#

Introduce _dmarc en el campo Host o Nombre. Bluehost añade automáticamente tu dominio, generando _dmarc.tudominio.com, que es donde debe residir el registro. No escribas tú el dominio completo o crearás un nombre duplicado. Comienza el valor con v=DMARC1; p=none; e incluye una dirección de informes rua= para poder monitorizar antes de aplicar la política.

¿De dónde sale el valor de mi registro DKIM?#

De tu proveedor de correo, nunca de Bluehost. Activa DKIM en la consola de administración de tu ESP o proveedor de buzones y te mostrará el selector exacto (la parte anterior a ._domainkey) y el valor de la clave pública que debes publicar. Copias ese host y ese valor en un registro TXT en Bluehost exactamente como se te da. Si el proveedor ofrece un CNAME en lugar de una clave en línea, publícalo como CNAME: la idea es que los valores de firma son siempre del proveedor, no algo que escribes tú.

Una vez que SPF, DKIM y DMARC estén activos en Bluehost y el verificador muestre los tres pasando, has demostrado tu identidad, pero una identidad limpia solo llega a la bandeja de entrada si la lista que hay detrás también está limpia. Pasa tus direcciones por el verificador de correo gratuito para eliminar buzones muertos y erratas antes de que reboten, porque la autenticación abre la puerta y la higiene de la lista te hace cruzarla.