Cómo configurar SPF, DKIM y DMARC en IONOS

Si tu dominio está registrado con IONOS (antes 1&1 IONOS), los tres registros de autenticación de correo — SPF, DKIM y DMARC — viven en el mismo sitio: la sección de DNS de tu panel de control de IONOS. Cada uno es un registro TXT normal y corriente; lo que cambia entre ellos es el nombre de host bajo el que lo registras y de dónde procede el valor. Esta guía muestra exactamente dónde guarda IONOS ese editor, qué escribir en el campo de host para el dominio raíz, _dmarc y tu selector DKIM, y cómo confirmar los registros una vez que surten efecto. Para entender cómo encajan conceptualmente los tres registros, consulta la explicación de SPF, DKIM y DMARC; este artículo es el tutorial específico para IONOS.

La respuesta rápida#

Vas a añadir tres registros TXT en el mismo editor de DNS de IONOS:

• SPF — un registro TXT en la raíz de tu dominio (host @ o dejado en blanco), con un valor que empieza por v=spf1 y enumera cada servicio autorizado a enviar en tu nombre.
• DKIM — un registro TXT en selector._domainkey, donde tanto el nombre del selector como el largo valor de la clave pública proceden de tu proveedor de correo (Google Workspace, Microsoft 365, SendGrid, etc.). Este valor nunca te lo inventas.
• DMARC — un registro TXT en _dmarc, con un valor que empieza por v=DMARC1, comenzando en p=none para que puedas monitorizar antes de aplicar una política.

Los registros en sí son idénticos independientemente de quién aloje tu DNS; la única parte específica de IONOS es dónde se encuentra el editor y qué va en el campo de host. Eso es lo que cubre el resto de esta guía.

Dónde guarda IONOS tus registros DNS#

IONOS coloca la gestión de DNS bajo tu dominio en lugar de en un panel de DNS independiente, así que el camino pasa por la lista de dominios. Después de iniciar sesión en tu cuenta de IONOS:

1. Abre el menú principal y ve a Dominios y SSL (las cuentas más antiguas pueden llamarlo simplemente Dominios).
2. En la lista de dominios, haz clic en el que quieras configurar — o en el icono de engranaje / ajustes que hay junto a él.
3. Elige la pestaña o sección DNS de ese dominio. Esto abre la tabla de registros con tus entradas A, MX, CNAME y TXT existentes.
4. Haz clic en Añadir registro (a veces mostrado como Añadir o un +) y elige TXT como tipo de registro.

Las etiquetas y la disposición del panel de control de IONOS cambian de vez en cuando, así que la redacción exacta o la posición de un botón pueden haber cambiado desde que se escribió esto, pero la secuencia siempre es la misma: encuentra el dominio, abre sus registros DNS y añade un nuevo registro TXT. Si ves un tipo de registro SPF específico en el desplegable, puedes ignorarlo; un registro TXT normal es la opción compatible universalmente y mantiene los tres registros coherentes.

Cada nuevo registro TXT pide tres cosas: un Nombre de host (a veces solo Host o Nombre), un Valor (el texto del registro) y un TTL. El TTL es el tiempo que los resolutores mantienen el registro en caché; IONOS lo establece de forma predeterminada en 1 hora, y ese valor está bien. Puedes bajarlo a 10 minutos mientras haces pruebas activamente para que los cambios aparezcan más rápido, y después dejarlo en el valor predeterminado.

Configurar SPF en IONOS#

SPF (Sender Policy Framework) es el único registro TXT que enumera qué servidores pueden enviar correo usando tu dominio. En el editor de registros de IONOS, añade un registro TXT con estos campos:

• Nombre de host: @ — así es como IONOS se refiere al dominio raíz (a secas). Si IONOS rechaza @ o la descripción del campo indica que lo dejes vacío para la raíz, un nombre de host en blanco también funciona. No pongas aquí tu dominio completo.
• Valor: tu cadena SPF, que siempre empieza por v=spf1 y termina con un mecanismo all.
• TTL: déjalo en 1 hora.

Un valor típico tiene este aspecto, pero el tuyo depende por completo de a través de qué servicios envías:

v=spf1 include:_spf.google.com include:sendgrid.net ~all

El ~all al final es un fallo leve (softfail: acepta pero marca los remitentes no autorizados); -all es un fallo estricto (hardfail: los rechaza de plano). Cada servicio de envío que uses — tu proveedor de correo, tu plataforma de marketing, tu CRM, tu herramienta de facturación — necesita su include: en esta única cadena. Como el valor tiene que montarse correctamente, constrúyelo con el generador de registros SPF en lugar de a mano.

Configurar DKIM en IONOS#

DKIM (DomainKeys Identified Mail) publica una clave pública que permite a los receptores verificar que cada mensaje fue firmado por ti y no se alteró en tránsito. Tanto el selector como el valor de la clave los genera tu proveedor de correo, así que el primer paso ocurre fuera de IONOS: activa DKIM en la consola de administración de tu proveedor (Google Workspace, Microsoft 365, los ajustes de autenticación de tu ESP) y copia el host y el valor que te proporcione.

El proveedor te dará un host con un aspecto como selector1._domainkey.tudominio.com y un largo valor que empieza por v=DKIM1. En IONOS, añade un registro TXT:

• Nombre de host: solo la parte del selector, sin tu dominio — por ejemplo selector1._domainkey o google._domainkey. IONOS añade tu dominio automáticamente, así que introducir el selector1._domainkey.tudominio.com completo lo duplicaría. Quita el .tudominio.com final de lo que te mostró tu proveedor y pega el resto.
• Valor: toda la cadena de la clave pública de tu proveedor, exactamente como te la dio — algo como v=DKIM1; k=rsa; p=MIGfMA0GCSq... (normalmente mucho más larga).
• TTL: déjalo en 1 hora.

Aquí hay dos cosas que hacen tropezar a la gente. Primera: el nombre del selector es el que haya elegido tu proveedor — google, selector1, s1, k1, una cadena aleatoria — así que usa el exacto de sus instrucciones en lugar de adivinar. Segunda: los valores DKIM son largos; pega el conjunto entero de una vez y comprueba que no recortaste el principio ni el final. Algunos proveedores te dan un CNAME en lugar de un registro TXT para DKIM; si es el caso, añádelo como CNAME en el mismo editor de IONOS con el host y el destino que especifiquen, y omite por completo el TXT para DKIM.

Configurar DMARC en IONOS#

DMARC (Domain-based Message Authentication, Reporting and Conformance) es el registro de política que vincula SPF y DKIM con la dirección "From" visible y dice a los receptores qué hacer cuando un mensaje falla. Siempre vive en el host fijo _dmarc. En el editor de IONOS, añade un registro TXT:

• Nombre de host: _dmarc — nada más. IONOS añade el dominio, dando como resultado _dmarc.tudominio.com.
• Valor: una cadena DMARC que empieza por v=DMARC1, comenzando en modo de monitorización.
• TTL: déjalo en 1 hora.

Un valor de inicio seguro tiene este aspecto:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

El p=none significa "no tomes ninguna medida todavía, solo informa". La dirección de rua= es donde se envían los informes agregados diarios; apúntala a un buzón que leas de verdad. Construye el valor con el generador de registros DMARC para que las etiquetas sean correctas y luego sigue el despliegue completo en la guía paso a paso de DMARC: mantente en p=none durante un par de semanas, lee los informes agregados hasta que todos los flujos legítimos se autentiquen con alineación, y después endurécelo a p=quarantine y finalmente p=reject. Nunca publiques p=reject el primer día — mandarás tu propio correo a spam antes de averiguar qué flujos estaban fallando.

Verifica los registros después de que se propaguen#

Los cambios de DNS en IONOS suelen ser visibles en cuestión de minutos, pero pueden tardar hasta una hora en propagarse por completo, en línea con el TTL. Una vez que hayas añadido los tres registros, confirma que se resuelven correctamente con el verificador de SPF, DKIM y DMARC — comprueba los tres a la vez y señala un registro ausente, un error de sintaxis o una entrada SPF duplicada. Si un registro aún no aparece, espera a que venza el TTL y vuelve a comprobarlo antes de dar por hecho que está mal.

Conseguir que los tres estén en verde es lo que satisface los requisitos para remitentes de Google y Yahoo y protege tu reputación como remitente frente a la suplantación. Pero la autenticación solo demuestra quién eres: no te convierte en un buen remitente. Un mensaje perfectamente autenticado enviado a una lista llena de direcciones muertas aún acaba en spam, así que combina unos registros limpios con una lista limpia.

Errores frecuentes en IONOS#

• Poner el dominio completo en el campo de host. IONOS añade tu dominio automáticamente. Introduce @ para el SPF de la raíz, _dmarc para DMARC y selector._domainkey para DKIM — no el algo.tudominio.com completo.
• Dos registros SPF. Solo puede existir un registro v=spf1 en la raíz. Si IONOS ya muestra un registro SPF o TXT de una configuración anterior, edita ese en lugar de añadir un segundo.
• Adivinar el valor de DKIM. El selector y la clave proceden de tu proveedor de correo. No hay un valor DKIM genérico que pegar — si aún no has activado DKIM en la consola de tu proveedor, hazlo primero.
• Saltar DMARC directamente a la aplicación. Empieza en p=none, monitoriza y luego escala. Aplicar la política sin la fase de monitorización es la forma más rápida de sepultar correo legítimo.
• No esperar al TTL. Un registro puede parecer "ausente" simplemente porque la respuesta antigua en caché no ha caducado. Dale hasta una hora antes de ponerte a solucionar problemas.

Preguntas frecuentes#

¿Dónde añado los registros SPF, DKIM y DMARC en IONOS?#

Inicia sesión en IONOS, abre Dominios y SSL, haz clic en tu dominio y abre su sección de DNS. Usa Añadir registro → TXT para cada uno. Las etiquetas y la disposición pueden variar entre versiones de la interfaz de IONOS, por lo que algún botón puede haber cambiado de sitio, pero el camino siempre pasa por la lista de registros DNS del dominio. Pon el host en @ (o en blanco) para SPF, _dmarc para DMARC y el selector._domainkey de tu proveedor para DKIM.

¿Qué pongo en el campo de host o nombre de IONOS para cada registro?#

Para SPF, introduce @ para el dominio raíz — o deja el host en blanco si IONOS lo prefiere así para la raíz. Para DMARC, introduce _dmarc. Para DKIM, introduce solo la parte del selector que te dio tu proveedor, como selector1._domainkey o google._domainkey. En todos los casos IONOS añade tu dominio automáticamente, así que nunca escribas el algo.tudominio.com completo en el campo de host.

¿De dónde sale el valor de DKIM en IONOS?#

No de IONOS. El DKIM se activa dentro de la consola de administración de tu proveedor de correo (Google Workspace, Microsoft 365, tu ESP), y este genera el selector y el valor de la clave pública por ti. Luego pegas ese valor en un registro TXT en IONOS. IONOS solo aloja el registro; la clave en sí la emite quien envía tu correo.

¿Cuánto tardan en aplicarse los cambios de DNS en IONOS?#

Normalmente unos minutos, pero deja hasta una hora para la propagación completa, en línea con el TTL. IONOS establece el TTL en 1 hora de forma predeterminada; puedes bajarlo a unos 10 minutos mientras haces pruebas para que los cambios aparezcan más rápido, y luego dejarlo en el valor predeterminado. Si un registro no aparece de inmediato, espera a que venza el TTL antes de dar por hecho que algo va mal y vuelve a ejecutar el verificador.

Configura correctamente los tres registros en IONOS y los proveedores confiarán en tu identidad — pero una identidad de confianza solo gana la bandeja de entrada cuando la lista que hay detrás está limpia. Pasa tus direcciones por el verificador de correo gratuito para eliminar buzones muertos y erratas antes de que reboten, y echa mano de las herramientas de entregabilidad gratuitas siempre que necesites generar o volver a comprobar un registro.