Cómo configurar SPF, DKIM y DMARC en Namecheap

Namecheap es uno de los sitios más populares para registrar un dominio, así que para muchos remitentes también es donde configuran por primera vez SPF, DKIM y DMARC. Lo tranquilizador es que los tres son registros DNS TXT corrientes, y Namecheap ofrece un formulario sencillo para añadirlos en la pestaña Advanced DNS. Lo único que hace tropezar a la gente de forma sistemática es el campo Host: qué escribir para un registro SPF de nivel raíz frente a una política _dmarc frente a un selector DKIM. Esta guía recorre dónde vive cada registro en el editor de DNS de Namecheap y exactamente qué va en cada campo, sin tocar los valores de los registros, que vienen de tu proveedor de correo.

La respuesta corta#

En Namecheap añades los tres registros de la misma manera: Domain List → Manage → Advanced DNS → Add New Record → TXT Record, y luego rellenas el Host y el Value. Lo único que difiere entre los tres es el campo Host:

• SPF — Host @ (el dominio raíz); el valor empieza por v=spf1.
• DKIM — Host <selector>._domainkey (tu proveedor de correo te da el selector); el valor empieza por v=DKIM1.
• DMARC — Host _dmarc; el valor empieza por v=DMARC1.

Namecheap añade tu dominio a lo que pongas en el campo Host, así que escribes solo el prefijo, nunca el nombre de host completo. Guarda cada registro, espera a la propagación y luego verifica. El resto de esta guía cubre cada paso en detalle, incluido cómo encontrar los valores de los registros sin tener que adivinarlos.

Antes de empezar: ¿es Namecheap quien realmente gestiona tu DNS?#

Esta es la comprobación que más tiempo perdido evita. La pestaña Advanced DNS solo controla tus registros si el dominio usa Namecheap BasicDNS, los servidores de nombres por defecto que vienen con un registro de Namecheap. Si has apuntado los servidores de nombres del dominio a otro proveedor (Cloudflare, tu proveedor de hosting web, un servicio de DNS gestionado), Namecheap ya no responde a las consultas DNS de ese dominio, y cualquier registro TXT que añadas en la pestaña Advanced DNS se ignora sin más. En ese caso, añades los registros allí donde vivan realmente tus servidores de nombres.

Para comprobarlo, abre la página de gestión del dominio y fíjate en el ajuste de Nameservers. Si pone "Namecheap BasicDNS" (o Namecheap Web Hosting DNS), estás en el sitio correcto y la pestaña Advanced DNS está activa. Si muestra "Custom DNS" con los servidores de nombres de otra persona en la lista, añade tus registros SPF, DKIM y DMARC en ese proveedor.

Dónde guarda Namecheap tus registros DNS#

Una vez confirmado que Namecheap gestiona tu DNS, los registros viven en un solo sitio. Inicia sesión, abre tu Domain List desde el panel de la cuenta, busca el dominio y haz clic en Manage. En la pantalla de gestión, cambia a la pestaña Advanced DNS. En la sección Host Records verás un botón Add New Record. Haz clic en él y pon el Type del registro en TXT Record.

Cada registro TXT que añadas en Namecheap tiene el mismo puñado de campos:

• Type — pon TXT Record para los tres, SPF, DKIM y DMARC. (DKIM es la única excepción, en la que algunos proveedores te dan un CNAME en su lugar; más sobre esto abajo.)
• Host — el prefijo que va delante de tu dominio. Este es el campo que difiere en cada registro: @ para la raíz, _dmarc para DMARC, <selector>._domainkey para DKIM. Namecheap añade .tudominio.com por ti, así que nunca escribas aquí el nombre de host completo.
• Value — la cadena del registro en sí, pegada exactamente como te la da tu generador o tu proveedor de correo.
• TTL — cuánto tiempo cachean el registro los resolvers. Automatic está bien; no hace falta cambiarlo.

No necesitas envolver el Value entre comillas: Namecheap almacena los datos TXT y se encarga del entrecomillado por ti. Añadir tus propias comillas es una causa habitual de un registro que parece correcto pero no valida.

Añadir tu registro SPF en Namecheap#

SPF es el registro que enumera qué servidores tienen permiso para enviar correo por tu dominio, y en Namecheap vive siempre en la raíz. Añade un nuevo registro TXT, pon el Host en @ y pega tu cadena SPF en Value. Un registro típico tiene este aspecto:

v=spf1 include:spf.your-esp.com ~all

El mecanismo include: autoriza los servidores de envío de tu proveedor de correo, y el ~all del final falla de forma suave para todo lo demás (-all falla de forma dura). No copies el ejemplo de arriba tal cual: los includes dependen por completo de qué servicios envían tu correo. Construye la cadena exacta con el generador de registros SPF, que ensambla los includes de tus proveedores en un único registro válido.

Esa palabra, único, importa. Un dominio solo puede publicar un registro SPF. Si un segundo registro TXT en la raíz también empieza por v=spf1, los receptores tratan el SPF como roto y ambos quedan efectivamente anulados. Esto pica a los usuarios de Namecheap en concreto: activar Namecheap Private Email puede añadir su propio registro SPF automáticamente, así que si más adelante envías a través de un ESP separado tienes que fusionar los dos — combinar el include: de cada proveedor en un solo registro — en lugar de añadir un segundo. Ante la duda, mantén exactamente una línea que empiece por v=spf1 en el Host @.

Añadir tu registro DKIM en Namecheap#

DKIM es donde el campo Host parece poco familiar, pero la regla es sencilla. Tu proveedor de correo te da un selector — una etiqueta corta como s1, k1, google o una cadena aleatoria — y el valor de la clave pública. En Namecheap pones el selector más ._domainkey en el campo Host, y la clave en el Value:

Host:   s1._domainkey
Value:  v=DKIM1; k=rsa; p=MIGfMA0GCSq...

Como Namecheap añade tu dominio, un Host de s1._domainkey se convierte en el nombre de registro completo s1._domainkey.tudominio.com, que es exactamente donde lo buscan los receptores. El selector y la larga clave p= no son algo que te inventes: los genera tu proveedor de correo (Google Workspace, Microsoft 365, tu ESP) cuando activas la firma DKIM. Cópialos de la consola de administración de ese proveedor y pégalos sin cambiarlos.

Un matiz específico de Namecheap: algunos proveedores publican DKIM como un CNAME en lugar de un registro TXT, para poder rotar las claves por ti. Si tu proveedor te da un nombre de host "points to" o "target" en vez de una cadena v=DKIM1, pon el Type del registro en CNAME Record en Namecheap, coloca el host del selector a la izquierda y el destino del proveedor a la derecha, y olvídate del formato TXT. Sigue el tipo de registro que indique tu proveedor.

Añadir tu registro DMARC en Namecheap#

DMARC es la capa de política que ata SPF y DKIM a la dirección "From" visible y le dice a los receptores qué hacer con el correo que falla. Vive en el host fijo _dmarc. Añade un registro TXT, pon el Host en _dmarc y pega tu política en Value:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Namecheap convierte ese Host en _dmarc.tudominio.com, el único sitio del que se lee un registro DMARC. Igual que con SPF, hay exactamente un registro DMARC por dominio: un segundo TXT en _dmarc invalida ambos.

Fíjate en el p=none. Es deliberado, y es la parte más importante de un despliegue seguro. p=none significa "solo monitorizar": los receptores no toman ninguna acción sobre el correo que falla y simplemente te envían informes, así que publicarlo no cambia nada en cómo se entrega tu correo, a la vez que activa los informes agregados que te permiten ver todas las fuentes que envían como tu dominio. Construye el registro con el generador de registros DMARC, empieza en p=none y aprieta a quarantine y luego a reject solo cuando los informes estén limpios. La secuencia completa, incluido cómo leer lo que llega de vuelta, se cubre en la guía paso a paso de configuración de DMARC y en la complementaria sobre cómo leer los informes DMARC.

Después de guardar: propagación y verificación#

Namecheap suele aplicar los cambios de Advanced DNS en aproximadamente media hora, pero la propagación del DNS por el resto de internet puede tardar más: espera hasta 48 horas antes de concluir que algo va mal, sobre todo si editaste un registro existente cuyo valor antiguo se cacheó con un TTL largo. Si pusiste el TTL en Automatic, esto rara vez es un problema para los registros nuevos.

Una vez que los registros están activos, confirma que se resuelven y se interpretan correctamente en lugar de darlo por hecho. El verificador de SPF, DKIM y DMARC lee los tres de vuelta para tu dominio y señala los problemas habituales: un registro que falta, un SPF duplicado, un selector DKIM que no devuelve nada, una etiqueta DMARC mal formada. Es además la forma más rápida de demostrar que tus cambios surtieron efecto antes de depender de ellos.

Errores habituales en Namecheap#

Un puñado de fallos explican la mayoría de los tickets de autenticación de Namecheap:

• Escribir el nombre de host completo en Host. Introducir yourdomain.com o _dmarc.yourdomain.com genera un nombre duplicado como _dmarc.yourdomain.com.yourdomain.com. Usa solo el prefijo: @, _dmarc o <selector>._domainkey.
• Dos registros SPF. Ya sea por Private Email más un ESP, o por dos entradas manuales, un segundo TXT en la raíz que empiece por v=spf1 rompe el SPF. Fusiónalos en uno.
• Servidores de nombres equivocados. Si el dominio está en Custom DNS, los registros de Advanced DNS no hacen nada: añádelos en tu proveedor de DNS real.
• Añadir comillas a mano. Namecheap entrecomilla los valores TXT por ti; las comillas de más corrompen el registro.
• Inventarse los valores DKIM. El selector y la clave deben venir de tu proveedor de correo. No hay un registro DKIM genérico que pegar.
• Precipitar DMARC a p=reject. Saltarse la fase de monitorización es como se acaba mandando tu propio correo legítimo a spam. Empieza en p=none.

Hacer bien los tres es exactamente lo que piden las reglas de los proveedores de buzones de 2024: consulta los requisitos para remitentes de Google y Yahoo para saber quién necesita qué registros y a qué volumen, y recuerda que la autenticación es la entrada, no todo el partido: protege tu reputación como remitente pero no te gana la colocación por sí sola.

Preguntas frecuentes#

¿Qué pongo en el campo Host para SPF, DKIM y DMARC en Namecheap?#

Solo el prefijo, porque Namecheap añade tu dominio automáticamente. Usa @ para SPF (el dominio raíz), _dmarc para DMARC y <selector>._domainkey para DKIM, donde el selector es la etiqueta que te dio tu proveedor de correo, por ejemplo s1._domainkey o google._domainkey. Nunca escribas el nombre de host completo; introducir _dmarc.yourdomain.com en el campo Host genera un nombre duplicado que no se resolverá.

¿Por qué no funciona mi registro después de añadirlo en Namecheap?#

Repasa las causas habituales en orden. Primero, confirma que el dominio está en Namecheap BasicDNS y no en Custom DNS apuntando a otro sitio: los registros de Advanced DNS se ignoran si otro proveedor gestiona tus servidores de nombres. Segundo, comprueba que escribiste solo el prefijo del Host, sin el dominio completo y sin comillas añadidas a mano. Tercero, asegúrate de que hay exactamente un registro SPF y uno DMARC. Por último, ten en cuenta la propagación (hasta 48 horas) y usa el verificador de SPF, DKIM y DMARC para ver qué se resuelve realmente.

¿Necesito usar Namecheap BasicDNS para añadir estos registros?#

Tienes que añadir los registros allí donde apunten los servidores de nombres de tu dominio. Si el dominio usa Namecheap BasicDNS, la pestaña Advanced DNS es el sitio correcto. Si has movido el DNS a otro proveedor mediante Custom DNS, añade SPF, DKIM y DMARC allí: los registros son los mismos, solo cambia el editor. Añadirlos en la pestaña Advanced DNS de Namecheap no tiene ningún efecto cuando Namecheap no responde al DNS del dominio.

¿Puedo tener más de un registro SPF en Namecheap?#

No: un dominio solo puede publicar un registro SPF, y este es un tropiezo habitual en Namecheap. Si activaste Namecheap Private Email, es posible que ya haya añadido su propio registro SPF, así que añadir un segundo para tu ESP rompe ambos. En su lugar, fusiona el mecanismo include: de cada proveedor en un único registro en el Host @. El generador de registros SPF crea un único registro combinado válido para todos los servicios desde los que envías.

Una vez que SPF, DKIM y DMARC estén activos en Namecheap, usa el verificador gratuito de SPF, DKIM y DMARC para confirmar que los tres se resuelven, y luego limpia la lista que hay detrás con el verificador de correo gratuito, porque un dominio perfectamente autenticado sigue cayendo en spam si envía a direcciones muertas.