SPF, DKIM y DMARC para DreamHost.
DreamHost es un proveedor de hosting web, así que aquí «autenticar tu dominio» significa autenticar los buzones y el correo del sitio web que envías a través de los propios servidores de correo de DreamHost — no hay un asistente de ESP aparte. Para cualquier dominio cuyo DNS esté alojado en DreamHost, el panel hace casi todo el trabajo automáticamente: publica un registro SPF que autoriza las IP de salida de DreamHost y su relay de MailChannels, y genera una clave DKIM bajo el selector «dreamhost» para que cada mensaje enviado a través del SMTP de DreamHost quede firmado como tu dominio. El único registro que DreamHost nunca crea es DMARC — ese lo añades tú. Y la trampa que pilla a casi todo el mundo: en el momento en que editas a mano el registro SPF, DreamHost descarta silenciosamente su versión gestionada, así que tu sustituto tiene que llevar a mano ambos includes de DreamHost.
¿Por qué autenticar DreamHost?
Configurar bien SPF, DKIM y DMARC en DreamHost decide si tu correo llega a la bandeja de entrada. Desde febrero de 2024, Gmail y Yahoo exigen que todo remitente masivo (aproximadamente 5.000 o más mensajes al día) pase SPF, DKIM y DMARC con alineación, y Microsoft empezó a aplicar lo mismo al correo de alto volumen dirigido a Outlook/Hotmail en 2025. DreamHost es peculiar entre las páginas de «proveedores» porque envías desde tus propios buzones: el remitente del sobre es tu dominio, así que SPF alinea, y DreamHost firma DKIM como tu dominio, así que DKIM también alinea — un dominio de DreamHost bien configurado pasa DMARC por ambos mecanismos, la configuración resiliente que sobrevive al reenvío. Pero hay dos cosas específicas de DreamHost que lo rompen sin que te des cuenta: los scripts del sitio web que envían mediante la función mail()/sendmail de PHP en lugar de SMTP autenticado no llevan firma DKIM, y editar SPF descarta el registro gestionado de DreamHost. Cierra ambas brechas y la reputación de envío que construyes se acumula en tu propio dominio en vez de disiparse como correo no autenticado.
La realidad del SPF con DreamHost
DreamHost es un proveedor genuino de tipo «include», pero el include son en realidad dos includes más mx, y juntos SON todo tu registro SPF raíz. Para un dominio cuyo DNS reside en DreamHost, el panel publica automáticamente v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net -all. netblocks.dreamhost.com contiene los propios rangos de IP de salida de DreamHost; relay.mailchannels.net está ahí porque DreamHost enruta el correo saliente a través de MailChannels (un relay de salida compartido) — ambos son obligatorios, y quitar cualquiera de los dos hace que parte de tu correo falle SPF de forma dura. Como envías desde tus propios buzones, el remitente del sobre SMTP es una dirección de tu dominio, así que aquí SPF realmente ALINEA con tu dominio organizativo (a diferencia de un Mailchimp o un SendGrid que son dueños del Return-Path). El comportamiento que despista a la gente: este registro se gestiona solo mientras no lo toques. Añade o edita un registro SPF TXT personalizado y DreamHost elimina el suyo autogenerado, de modo que tu sustituto DEBE contener tanto include:netblocks.dreamhost.com como include:relay.mailchannels.net (más cualquier include de terceros que estés añadiendo), todo dentro de UN único registro v=spf1. El valor por defecto termina en -all (fallo duro), que es estricto — todo remitente legítimo tiene que estar listado o se rechaza directamente. Y nunca publiques dos registros SPF TXT en el dominio; dos registros SPF son en sí mismos un PermError.
Dos formas de configurarlo
DNS alojado en DreamHost (automático)
- DreamHost publica automáticamente el registro SPF (mx + netblocks.dreamhost.com + relay.mailchannels.net, terminando en -all)
- DreamHost genera automáticamente el registro DKIM dreamhost._domainkey y firma todo el correo SMTP
- No hay nada que pegar para SPF/DKIM — solo añades tú el registro DMARC
- Cuidado con la trampa: editar SPF descarta el registro gestionado, así que vuelve a añadir ambos includes a mano
DNS alojado en otro sitio (Cloudflare, registrador) — manual
- DreamHost no puede publicar registros en una zona que no controla, así que no aparece nada automáticamente
- Añade tú mismo v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net -all en tu host de DNS
- Copia el valor TXT de DKIM dreamhost._domainkey desde el panel de DreamHost a tu host de DNS (solo-DNS si es Cloudflare)
- Añade también ahí el registro TXT _dmarc — ninguno de estos se crea por ti
Paso a paso
- 1
Confirma dónde está alojado tu DNS
Inicia sesión en panel.dreamhost.com y abre Websites → Manage Websites (en paneles más antiguos: Domains → Manage Domains). Localiza tu dominio, haz clic en el botón vertical de tres puntos y elige DNS Settings. Si tu DNS está alojado en DreamHost, es probable que SPF y DKIM ya estén publicados; si tus servidores de nombres apuntan a Cloudflare o a un registrador, DreamHost no puede publicar automáticamente y añadirás cada registro manualmente en ese host.
- 2
Verifica el registro SPF gestionado
En DNS Settings, confirma que el registro SPF TXT dice v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net -all con un Nombre en blanco (la raíz). Si envías solo a través de DreamHost, déjalo exactamente como está — no lo «limpies».
- 3
¿Añades otro remitente? Fusiona, nunca dupliques
Como editar elimina el registro gestionado de DreamHost, vuelve a crear UN solo SPF TXT que conserve ambos includes de DreamHost y añada el nuevo — p. ej. v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net include:_spf.google.com -all. Nunca añadas un segundo registro SPF (PermError).
- 4
Confirma que DKIM está activado
DreamHost genera automáticamente el registro TXT dreamhost._domainkey y firma todo el correo SMTP autenticado de los dominios alojados. En DNS Settings, busca un registro TXT cuyo Nombre contenga _domainkey (selector dreamhost). Si tu DNS es externo, copia ese valor TXT a tu host de DNS para que DKIM resuelva.
- 5
Envía el correo del sitio web mediante SMTP autenticado
Los formularios de contacto y scripts que usan mail()/sendmail de PHP pasan SPF (salen desde IP de DreamHost) pero NO llevan firma DKIM. Apunta WordPress y cualquier aplicación a smtp.dreamhost.com con las credenciales de un buzón (un plugin de SMTP lo hace) para que el correo quede firmado y alinee para DMARC.
- 6
Añade el registro DMARC
DreamHost no crea DMARC. En DNS Settings haz clic en Add Record, pon el Nombre en _dmarc, el Tipo en TXT y el Valor en v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com, y guarda. p=none es solo de monitorización, así que nada se ve afectado mientras confirmas la alineación.
- 7
Envía una prueba y lee las cabeceras
Envíate un correo a ti mismo a Gmail desde un buzón de DreamHost, abre el mensaje y elige ⋮ → Mostrar original. Confirma SPF: PASS (tu dominio), DKIM: PASS con d=tudominio.com y selector dreamhost, y DMARC: PASS. Que falte DKIM casi siempre significa que el correo salió mediante mail() de PHP en lugar de SMTP.
- 8
Sube DMARC hasta la aplicación estricta
Tras una o dos semanas de informes rua limpios que confirmen que toda fuente legítima pasa alineada, endurece la política de p=none a p=quarantine y luego a p=reject. Como DreamHost alinea tanto SPF como DKIM, normalmente puedes llegar a p=reject rápidamente.
Registros que añadir
DreamHost genera los valores exactos en su asistente de configuración; estos muestran la forma de lo que añadirás en tu proveedor de DNS.
| Tipo | Host | Valor |
|---|---|---|
| TXT | @ | v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net -allEl SPF raíz gestionado de DreamHost. Deja el campo Nombre EN BLANCO para la raíz (no escribas @ ni el dominio). Editarlo elimina el registro automático de DreamHost, así que cualquier sustituto debe conservar ambos includes. |
| TXT | dreamhost._domainkey | v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ…(auto-generated public key)Creado automáticamente por DreamHost para el correo alojado; el selector es siempre dreamhost. Ilustrativo — la clave real se genera por dominio y es visible en tu DNS Settings. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comEste lo añades tú — DreamHost nunca lo crea. Un registro DMARC por dominio; empieza en p=none. |
Mantén exactamente un registro TXT de SPF (v=spf1) en tu dominio raíz: fusiona en él todos los remitentes. Tener dos registros SPF es en sí mismo un error.
El presupuesto de 10 consultas
El SPF tiene un límite estricto de 10 consultas DNS: si lo superas, devuelve un permerror y deja de validar en todas partes. Esto es lo que la configuración de DreamHost consume de ese presupuesto.
DreamHost añade 3 de tus 10 consultas; los mecanismos ip4: e ip6: no cuentan.
DKIM
DKIM en DreamHost es automático para los dominios que usan el correo de DreamHost. DreamHost genera una clave RSA y publica la mitad pública como un registro TXT en dreamhost._domainkey.tudominio.com — el selector es siempre «dreamhost», y el valor es v=DKIM1; k=rsa; p=<clave pública>. Cada mensaje que sale a través del servidor de correo SMTP autenticado de DreamHost (smtp.dreamhost.com) se firma con la clave privada correspondiente, de modo que DKIM alinea con tu dominio y normalmente no hay nada que tengas que crear. Dos matices específicos de DreamHost deciden si de verdad funciona. Primero, la firma solo ocurre para el correo enviado a través de los servidores SMTP autenticados de DreamHost — el correo del sitio web enviado con la función mail() de PHP o el binario local sendmail (un formulario de contacto de WordPress sin plugin de SMTP, un script de cron, un mailer de PHP) sale del servidor sin firmar. Esos mensajes sí pasan SPF porque se originan en IP de DreamHost dentro de netblocks.dreamhost.com, pero no llevan firma DKIM, así que configura cualquier aplicación que envíe correo para que se autentique a través de smtp.dreamhost.com con las credenciales de un buzón real. Segundo, DKIM solo se publica automáticamente cuando tu DNS está alojado en DreamHost. Si tus servidores de nombres apuntan a Cloudflare o a un registrador, DreamHost no publica nada — copia el valor TXT de dreamhost._domainkey desde el panel de DNS de DreamHost y añádelo en tu host de DNS real (nube gris / solo-DNS en Cloudflare) o DKIM nunca resolverá.
DMARC
DMARC es el único registro que DreamHost no crea por ti — lo añades como un registro DNS personalizado. En el panel de DreamHost, abre la Configuración de DNS de tu dominio, haz clic en Añadir registro, pon el Nombre en _dmarc, el Tipo en TXT y el Valor en v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com, y guarda. p=none es solo de monitorización: no cambia nada en la entrega mientras los receptores te envían por correo informes agregados (rua) para que puedas confirmar que tu correo de DreamHost está pasando SPF y DKIM alineados con tu dominio. DreamHost está bien posicionado aquí porque alinea AMBOS mecanismos — SPF mediante tu dominio como remitente del sobre y DKIM mediante el selector dreamhost en tu dominio — así que un dominio de DreamHost correctamente configurado pasa DMARC de dos formas. Vigila los informes durante una o dos semanas (empiezan a llegar en un plazo de 24–72 horas), asegúrate de que toda fuente legítima se está autenticando, y luego endurece la política a p=quarantine y finalmente a p=reject. Mantén exactamente un registro _dmarc para todo el dominio, sin importar cuántos remitentes uses.
Comprueba que de verdad funcionó
No confíes solo en el panel — confírmalo con un mensaje real. Envía una prueba desde un buzón de DreamHost a una dirección de Gmail, ábrela y elige ⋮ → Mostrar original: quieres ver SPF: PASS mostrando tu dominio, DKIM: PASS con d=tudominio.com y el selector dreamhost, y DMARC: PASS. Si falta DKIM, es casi seguro que el mensaje salió mediante mail()/sendmail de PHP en lugar de SMTP autenticado. Puedes comprobar puntualmente los registros en crudo con dig TXT dreamhost._domainkey.tudominio.com y dig TXT _dmarc.tudominio.com, y confirmar que el registro SPF todavía contiene ambos includes con dig TXT tudominio.com. Luego pasa el dominio por la comprobación de salud del dominio de Qualisend para confirmar que cada registro resuelve y que el SPF se mantiene por debajo del límite de 10 consultas, y una vez que empiecen a llegar los informes agregados de DMARC, mete uno en el analizador de informes DMARC — DreamHost (y su relay de MailChannels) debería aparecer como una fuente alineada que pasa.
Errores habituales
- Configuración de DNS
Editar SPF elimina el registro gestionado de DreamHost — la trampa nº 1 de DreamHost. En el instante en que guardas un SPF TXT personalizado, DreamHost descarta el suyo autogenerado, así que tu sustituto DEBE contener tanto include:netblocks.dreamhost.com COMO include:relay.mailchannels.net o parte de tu correo empezará a fallar SPF sin avisar.
- Cobertura
relay.mailchannels.net no es opcional. DreamHost envía el correo saliente a través de MailChannels, así que el correo enrutado por el relay falla SPF de forma dura si dejas fuera ese include (el registro termina en -all).
- Cobertura
El correo del sitio web mediante mail()/sendmail de PHP no lleva firma DKIM. Solo el correo enviado a través de SMTP autenticado (smtp.dreamhost.com) se firma; un formulario de WordPress o un mailer de PHP sin plugin de SMTP pasa SPF pero no DKIM, así que no alineará en DKIM.
- Cobertura
El -all por defecto es un fallo duro, no blando. El registro de DreamHost rechaza a cualquier remitente que olvides incluir, así que añade todo servicio legítimo antes de fiarte de él — o relaja a ~all mientras haces pruebas.
- Configuración de DNS
Los registros automáticos solo existen cuando tu DNS está alojado en DreamHost. Si tus servidores de nombres apuntan a Cloudflare o a un registrador, DreamHost no publica nada — tienes que añadir tú mismo el registro SPF, copiar el TXT de DKIM dreamhost._domainkey y añadir DMARC en tu host de DNS real.
- Rompe la autenticación
Nunca publiques dos registros SPF. Si añades otro servicio de correo, fusiona su mecanismo en la única línea v=spf1 — dos registros SPF TXT separados son un PermError que rompe SPF por completo.
- Cobertura
Deja el campo Nombre en blanco para el SPF raíz. DreamHost representa la raíz del dominio con un campo Nombre vacío; introducir @ o el nombre de tu dominio lo duplica en un host inválido.
- Cobertura
DMARC depende de ti. DreamHost gestiona automáticamente SPF y DKIM pero nunca crea DMARC — sin un registro _dmarc incumples los requisitos de remitente masivo de Gmail/Yahoo aunque SPF y DKIM pasen.
Crea tu registro SPF
DreamHost ya viene preseleccionado abajo. Añade cualquier otra plataforma desde la que envíes y luego publica el registro fusionado único.
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listSPF de DreamHost — Preguntas frecuentes
Lecturas relacionadas
Una vez publicado, confirma que todo se resuelve con el chequeo de salud del dominio y luego averigua quién envía en tu nombre con el analizador de informes DMARC. Explora todas las fuentes de envío en el generador. Eso sí, la autenticación es solo la mitad de la entregabilidad: una IP o un dominio de envío incluidos en una lista negra te llevan igualmente a spam por muy limpio que esté tu SPF, así que conviene vigilar las listas negras con monitorización de listas negras.
Autenticado: ahora mantén la lista limpia
Pasar SPF, DKIM y DMARC te lleva a la bandeja de entrada; una lista limpia te mantiene ahí. Verifica la tuya: empieza gratis con 100 créditos, sin tarjeta.