SPF, DKIM y DMARC para Hostinger.
En Hostinger, «autenticar tu correo» no es una única configuración: depende de quién envíe realmente tus mensajes. Hostinger Email (los buzones nativos que vienen con la mayoría de los planes) tiene su propio include de SPF y, de forma poco habitual, entrega el DKIM como registros CNAME cuyas claves gestiona la propia Hostinger. Hostinger Reach (el producto de newsletter/marketing) usa un include y unos selectores completamente distintos. Y si tu web está alojada en Hostinger pero tus buzones están en Google Workspace, Microsoft 365 o un ESP, ninguno de los registros de Hostinger es aplicable: publicas los registros de ese proveedor en su lugar. La buena noticia es que todo vive en una sola pantalla (el editor de zona DNS en hPanel) y, cuando Hostinger gestiona tu DNS, puede añadir la mayor parte por ti con un solo clic. Esta guía cubre por completo la ruta del Hostinger Email nativo, señala en qué se diferencian Reach y el correo de terceros, y deja bien configurado el registro DMARC, la única pieza que Hostinger nunca añade automáticamente.
¿Por qué autenticar Hostinger?
SPF, DKIM y DMARC son lo que permite a un servidor receptor demostrar que un mensaje que dice venir de tu dominio es realmente tuyo. SPF enumera los servidores autorizados a enviar en tu nombre; DKIM firma criptográficamente cada mensaje; DMARC vincula ambos con la dirección From visible e indica a los receptores qué hacer cuando algo falla. Desde febrero de 2024, Google y Yahoo exigen los tres a cualquiera que envíe correo masivo a sus usuarios: el correo procedente de dominios sin autenticar se ralentiza o se descarta. Incluso con poco volumen, un dominio sin registro DMARC es trivialmente suplantable, y una sola campaña de phishing en tu nombre puede envenenar tu reputación como remitente durante meses. Publicar estos tres registros es el billete de entrada a la bandeja de entrada; omitirlos es la razón por la que el correo legítimo de Hostinger acaba tan a menudo en spam.
La realidad del SPF con Hostinger
El SPF de Hostinger Email es un único registro TXT en tu raíz que incluye `_spf.mail.hostinger.com`. Ese include no es un callejón sin salida: encadena a través de `relay.mail.hostinger.com` (las propias IP de envío de Hostinger) y `relay.mailchannels.net` —Hostinger enruta el correo saliente a través de MailChannels—, de modo que añadir este único include consume en realidad tres de las diez búsquedas DNS que SPF permite como límite estricto. Aun así queda mucho margen, pero importa en cuanto acumulas remitentes. La regla de oro es un único registro SPF por dominio: un segundo registro TXT que empiece por `v=spf1` hace que SPF falle con un PermError para todo. Así que si envías a través de Hostinger Email, un ESP de terceros y Hostinger Reach, no publicas tres registros SPF: fusionas todos los includes en una sola cadena, por ejemplo `v=spf1 include:_spf.mail.hostinger.com include:_spf.reach.hostinger.com include:sendgrid.net ~all`. Ojo aquí: la propia pantalla de configuración de Hostinger Reach puede indicarte que reemplaces tu SPF existente por solo su valor; no lo sigas al pie de la letra, o eliminarás el include `_spf.mail.hostinger.com` y romperás el SPF de tus buzones nativos. Fusiona, nunca reemplaces. Mantén `~all` (soft fail) mientras monitorizas; endurece a `-all` solo cuando tengas la certeza de que todas las fuentes legítimas están listadas.
Paso a paso
- 1
Confirma que Hostinger sirve realmente tu DNS
Editar registros en hPanel solo sirve de algo si tu dominio se resuelve a través de los nameservers de Hostinger. Abre tu dominio y revisa la sección Nameservers: los de Hostinger suelen ser ns1.dns-parking.com y ns2.dns-parking.com. Si aparece Cloudflare, Route 53, tu registrador o cualquier otro, ese proveedor es el autoritativo y debes añadir SPF, DKIM y DMARC allí en su lugar; los registros añadidos en Hostinger se ignorarán en silencio.
- 2
Decide qué producto de correo estás autenticando
Hostinger Email nativo, Hostinger Reach y un buzón de terceros (Google Workspace, Microsoft 365, un ESP) necesitan cada uno registros distintos. Si tus buzones están en otro sitio, ignora por completo los valores de Hostinger y usa los de ese proveedor: alojar tu web en Hostinger no significa que tu correo use los servidores de Hostinger. Los registros de esta guía son para Hostinger Email nativo; los de Reach difieren (consulta las notas de SPF y DKIM).
- 3
Prueba primero la conexión automática de un clic
Si Hostinger gestiona tu DNS, abre el dominio en Correos electrónicos y usa Conectar automáticamente, luego confirma. Hostinger escribe por ti los registros MX, SPF y DKIM en tu zona DNS: sin copiar y pegar, sin erratas. Esta es la ruta recomendada para el producto de correo nativo. NO añade DMARC, así que aún tienes que completar el paso de DMARC a mano. Si tu dominio usa nameservers externos, omite esto y añade cada registro manualmente.
- 4
Añade o fusiona el registro SPF
Si la conexión automática no se ejecutó, añade un registro TXT: Tipo TXT, Nombre @, valor v=spf1 include:_spf.mail.hostinger.com ~all. Fundamental: si ya existe un TXT v=spf1 (del hosting web de Hostinger, de un proveedor anterior o de Reach), no añadas un segundo. Edita el existente y fusiona el nuevo include en él. Un único registro SPF.
- 5
Añade los tres registros CNAME de DKIM
El DKIM de Hostinger Email no es una clave pública pegada, sino tres registros CNAME que apuntan a claves alojadas y autorrotadas por Hostinger. Añade cada uno con Tipo CNAME: hostingermail-a._domainkey → hostingermail-a.dkim.mail.hostinger.com, hostingermail-b._domainkey → hostingermail-b.dkim.mail.hostinger.com y hostingermail-c._domainkey → hostingermail-c.dkim.mail.hostinger.com. Introduce solo la etiqueta corta del host en Nombre (Hostinger añade tu dominio) y el host de destino en el campo Apunta a / Destino. No pongas el destino entre comillas ni conviertas estos registros en TXT.
- 6
Añade el registro DMARC — la pieza que Hostinger nunca añade
En Hostinger, DMARC siempre es manual, incluso después de la conexión automática. Añade un registro TXT: Nombre _dmarc, valor v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Empieza en p=none para no aplicar nada mientras reúnes informes; apunta rua a un buzón que leas de verdad. Construye la cadena con el generador de DMARC para que las etiquetas sean válidas y luego pégala.
- 7
Si además usas Reach o un ESP de terceros, reconcilia el SPF
Hostinger Reach usa include:_spf.reach.hostinger.com más sus propios CNAME reach-a._domainkey y reach-b._domainkey (destinos bajo dkim.reach.hostinger.com); un ESP también tiene su propio include y DKIM. Añade los registros DKIM de cada proveedor como entradas separadas —el DKIM se apila sin problema—, pero integra todos los includes de SPF en tu único registro SPF de la raíz. La propia pantalla de Reach puede pedirte que reemplaces tu SPF por solo su valor; ignóralo y fusiona en su lugar, o eliminarás el include de tu Hostinger Email nativo. Nunca publiques una segunda línea v=spf1.
- 8
Verifica y luego lleva DMARC hacia la aplicación
Una vez que los registros hayan tenido tiempo de propagarse (Hostinger dice que permitas hasta 24-72 horas, aunque suele ser mucho más rápido), confirma que los tres se resuelven. Después vigila los informes agregados de DMARC durante una o dos semanas, hasta que todos los flujos legítimos superen SPF o DKIM con alineación, y solo entonces eleva la política a p=quarantine y, por último, p=reject.
Registros que añadir
Hostinger genera los valores exactos en su asistente de configuración; estos muestran la forma de lo que añadirás en tu proveedor de DNS.
| Tipo | Host | Valor |
|---|---|---|
| MX | @ | mx1.hostinger.comPrioridad 5. Servidor de entrada estándar de Hostinger Email — solo necesario si Hostinger aloja tus buzones. |
| MX | @ | mx2.hostinger.comPrioridad 10. El servidor de entrada de respaldo; añádelo junto a mx1. |
| TXT | @ | v=spf1 include:_spf.mail.hostinger.com ~allEl SPF nativo de Hostinger Email. Publica exactamente un registro SPF: fusiona los includes de otros remitentes en esta línea en lugar de añadir un segundo. |
| CNAME | hostingermail-a._domainkey | hostingermail-a.dkim.mail.hostinger.comSelector DKIM 1 de 3. Hostinger gestiona y rota la clave subyacente; tú solo publicas el CNAME. |
| CNAME | hostingermail-b._domainkey | hostingermail-b.dkim.mail.hostinger.comSelector DKIM 2 de 3. Añade los tres CNAME: la firma sigue siendo válida a medida que Hostinger rota las claves entre los selectores. |
| CNAME | hostingermail-c._domainkey | hostingermail-c.dkim.mail.hostinger.comSelector DKIM 3 de 3. Hostinger Reach usa selectores distintos (reach-a / reach-b): no los confundas. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comIlustrativo — cambia la dirección rua por un buzón que leas. Hostinger nunca añade esto automáticamente; siempre es manual. |
Mantén exactamente un registro TXT de SPF (v=spf1) en tu dominio raíz: fusiona en él todos los remitentes. Tener dos registros SPF es en sí mismo un error.
El presupuesto de 10 consultas
El SPF tiene un límite estricto de 10 consultas DNS: si lo superas, devuelve un permerror y deja de validar en todas partes. Esto es lo que la configuración de Hostinger consume de ese presupuesto.
Hostinger añade 3 de tus 10 consultas; los mecanismos ip4: e ip6: no cuentan.
DKIM
Hostinger Email gestiona el DKIM de forma distinta a la mayoría de los registradores, y es el detalle que la gente hace mal. En lugar de generar un par de claves y darte una clave pública TXT larga para pegar, Hostinger publica el DKIM como tres registros CNAME —hostingermail-a._domainkey, hostingermail-b._domainkey y hostingermail-c._domainkey— cada uno apuntando a un destino alojado por Hostinger (…dkim.mail.hostinger.com). El material real de la clave vive del lado de Hostinger, lo que significa que Hostinger puede rotar las claves sin que tú vuelvas a tocar el DNS. Cuando Hostinger gestiona tu DNS, la conexión automática añade los tres por ti; en un DNS externo los añades tú mismo como CNAME (no TXT), introduciendo la etiqueta corta del selector en el campo Nombre y el host de destino en Apunta a / Destino, sin comillas. También existe una opción de DKIM personalizado en el panel de entregabilidad de correo, para usuarios avanzados que quieran aportar su propia clave como registro TXT, pero la ruta predeterminada y recomendada son los tres CNAME gestionados. Si además envías a través de Hostinger Reach, añade también sus CNAME reach-a._domainkey y reach-b._domainkey (apuntan a …dkim.reach.hostinger.com): los registros DKIM se apilan, así que cada producto de envío obtiene sus propios selectores junto a los demás.
DMARC
DMARC es el único registro que Hostinger nunca creará por ti —ni con la conexión automática ni con el asistente de correo—, así que siempre lo añades a mano como registro TXT en _dmarc. Empieza cada dominio en v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. La política p=none no aplica nada; simplemente activa los informes agregados XML diarios que te indican qué servidores están enviando en nombre de tu dominio y si superan SPF o DKIM con alineación. Apunta rua a un buzón que puedas leer de verdad (o a un servicio de informes DMARC). Deja la política en none hasta que los informes confirmen que todos los flujos legítimos —Hostinger Email, Reach, cualquier ESP, tu CRM— se autentican correctamente; después endurece a p=quarantine, vuelve a observar y, por último, p=reject. Saltar directamente a reject antes de monitorizar es la forma más rápida de mandar tus propias facturas y newsletters a spam. Como la alineación de DMARC depende de que el dominio From coincida con tu dominio autenticado, este registro es lo que realmente convierte tu trabajo de SPF y DKIM en protección contra la suplantación, en lugar de limitarse a superar comprobaciones.
Comprueba que de verdad funcionó
Da primero tiempo a que los registros se propaguen: Hostinger aplica los cambios de zona rápidamente, pero las cachés por toda internet hacen que una consulta pueda devolver un resultado vacío durante cualquier plazo, desde unos minutos hasta las 24-72 horas que indica Hostinger. Una vez estabilizado, confirma los tres a la vez con un verificador externo de SPF/DKIM/DMARC: pega tu dominio más un selector DKIM (usa hostingermail-a para Hostinger Email nativo) e informa si cada registro se encuentra y está bien formado. Desde un terminal puedes hacer una comprobación puntual con dig: dig TXT yourdomain.com para SPF, dig CNAME hostingermail-a._domainkey.yourdomain.com para DKIM y dig TXT _dmarc.yourdomain.com para DMARC. Si falta algo, comprueba en este orden: que los nameservers de Hostinger sirvan realmente el dominio, que hayas introducido etiquetas de host cortas (no el nombre de host completo) en el campo Nombre, que solo haya un registro v=spf1, y que los registros DKIM sean CNAME y no TXT, sin comillas sueltas.
Errores habituales
- Cobertura
Los nameservers apuntan a otro sitio. Si tu dominio usa Cloudflare, Route 53 o el DNS de tu registrador (no ns1/ns2.dns-parking.com), los registros añadidos en hPanel no hacen nada: añádelos en el proveedor autoritativo. Este es el motivo más común por el que los registros de Hostinger «no funcionan».
- Configuración de DNS
Tratar el DKIM como una clave TXT. El DKIM de Hostinger Email nativo son tres registros CNAME que apuntan a claves alojadas por Hostinger, no una clave pública que pegas. No los conviertas en TXT, no pongas el destino entre comillas y añade los tres selectores, no solo uno.
- Configuración de DNS
Dar por hecho que la conexión automática terminó el trabajo. Conectar automáticamente añade MX, SPF y DKIM, pero nunca DMARC. Si te detienes ahí, tu dominio no tiene política DMARC y sigue siendo suplantable. Añade siempre el registro TXT _dmarc a mano.
- Rompe la autenticación
Dos registros SPF. El hosting web de Hostinger, un proveedor de correo anterior o Reach pueden haber dejado ya un TXT v=spf1 en tu raíz. Añadir un segundo hace que SPF falle con un PermError para todo el dominio: edita y fusiona los includes en un solo registro.
- Cobertura
Dejar que Reach reemplace tu SPF. La pantalla de configuración de Reach puede pedirte que cambies tu SPF existente por solo su valor: si lo haces, eliminas el include _spf.mail.hostinger.com y rompes el SPF de tus buzones nativos. Fusiona ambos includes en una sola línea en su lugar.
- Configuración de DNS
Confundir Hostinger Email con Hostinger Reach. Usan includes distintos (_spf.mail frente a _spf.reach) y selectores DKIM distintos (hostingermail-a/b/c frente a reach-a/b). Si usas ambos, fusiona los includes de SPF en una sola línea pero publica los dos conjuntos de CNAME de DKIM.
- Configuración de DNS
Usar los registros de Hostinger cuando tu correo está en realidad en Google Workspace o Microsoft 365. Alojar tu sitio en Hostinger no enruta tu correo a través de Hostinger. Publica el SPF y el DKIM de tu proveedor de buzones, no estos.
- Cobertura
Escribir el nombre de host completo en Nombre. Hostinger añade tu dominio, así que introduce _dmarc, @ o hostingermail-a._domainkey — nunca _dmarc.yourdomain.com, que se resuelve a un nombre de host duplicado e inexistente.
- Cobertura
Aplicar DMARC desde el primer día. p=reject antes de haber leído los informes agregados entierra tu propio correo legítimo. Empieza en p=none y endurece solo después de que la monitorización confirme la alineación.
Crea tu registro SPF
Hostinger ya viene preseleccionado abajo. Añade cualquier otra plataforma desde la que envíes y luego publica el registro fusionado único.
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listSPF de Hostinger — Preguntas frecuentes
Lecturas relacionadas
Una vez publicado, confirma que todo se resuelve con el chequeo de salud del dominio y luego averigua quién envía en tu nombre con el analizador de informes DMARC. Explora todas las fuentes de envío en el generador. Eso sí, la autenticación es solo la mitad de la entregabilidad: una IP o un dominio de envío incluidos en una lista negra te llevan igualmente a spam por muy limpio que esté tu SPF, así que conviene vigilar las listas negras con monitorización de listas negras.
Autenticado: ahora mantén la lista limpia
Pasar SPF, DKIM y DMARC te lleva a la bandeja de entrada; una lista limpia te mantiene ahí. Verifica la tuya: empieza gratis con 100 créditos, sin tarjeta.