SPF, DKIM y DMARC para Loops.
Loops (loops.so) es un remitente por cuenta construido sobre Amazon SES, así que no hay una línea SPF compartida que pegar en tu dominio raíz ni un asistente que edite tu DNS por ti. En su lugar, abres Settings → Domain, haces clic en View records, y Loops genera un conjunto de registros DNS específico de tu cuenta — tres CNAME de DKIM más un TXT de SPF y un registro MX en un subdominio de sobre (envelope) dedicado — que copias en tu proveedor de DNS y luego confirmas con Verify Records. Como Loops te aprovisiona por defecto un MAIL FROM (Return-Path) personalizado en envelope.yourdomain.com, tanto SPF como DKIM acaban alineados con tu dominio desde el primer momento, que es lo que hace que DMARC pase y que tus campañas de Loops y tu correo transaccional lleguen a la bandeja de entrada.
¿Por qué autenticar Loops?
Autenticar tu dominio de Loops no es una tarea de mantenimiento opcional: Loops no enviará como tu dominio hasta que los registros se verifiquen, y esa verificación es la autenticación. Desde febrero de 2024, Gmail y Yahoo exigen que todo remitente masivo (aproximadamente 5.000+ mensajes al día) pase SPF, DKIM y DMARC con alineación, y Microsoft empezó a aplicar los mismos requisitos a los remitentes de alto volumen en 2025. Loops funciona sobre la infraestructura compartida de Amazon SES y gestiona por ti la cuenta SES subyacente, la reputación y los límites de envío, de modo que, a diferencia de SES en crudo, nunca tocas un entorno de pruebas (sandbox) ni solicitas acceso a producción. Pero la autenticación que vincula ese correo con tu dominio sigue siendo tuya y debes publicarla. Hasta que añadas y verifiques los registros, el correo se firma únicamente con la clave compartida amazonses.com de SES, nada se alinea con tu dominio From, DMARC falla y tu reputación de envío queda mezclada con la de cualquier otro inquilino de SES no autenticado. Publicar el conjunto de registros de Loops lo arregla todo de una sola pasada: SES firma como d=yourdomain.com para que DKIM se alinee, el MAIL FROM del sobre alinea SPF, DMARC pasa, y la reputación que construyes se acumula en tu propio dominio.
La realidad del SPF con Loops
Loops es un proveedor por cuenta, no un proveedor de include: no existe include:loops.so, y NO añades include:amazonses.com a tu registro SPF RAÍZ. En su lugar, Loops establece un MAIL FROM personalizado en un subdominio dedicado, envelope.yourdomain.com, y publica allí el mecanismo SPF: un registro TXT en el host envelope con el valor v=spf1 include:amazonses.com ~all, más un registro MX en ese mismo host envelope que apunta a feedback-smtp.{region}.amazonses.com. Como esos dos registros viven en ese subdominio de sobre dedicado y nunca en tu raíz pelada, añaden CERO consultas DNS a tu SPF raíz y no pueden chocar con un registro SPF raíz existente, así que no fusionas nada en tu línea SPF de Google Workspace o Microsoft 365, ni debes intentarlo. Y como envelope.yourdomain.com comparte el dominio organizativo yourdomain.com con tu dirección From visible, SPF se alinea automáticamente en modo relajado. Esa es la diferencia clave respecto a una configuración de Amazon SES pelada: Loops te configura el MAIL FROM personalizado, así que obtienes alineación SPF desde el primer momento en lugar de un SPF que solo pasa para amazonses.com. El único registro que mantienes singular y en la raíz es DMARC.
Paso a paso
- 1
Abre la configuración de tu dominio
En el panel de Loops (app.loops.so), haz clic en el icono del engranaje → Settings → Domain. Introduce el nombre de tu empresa y el dominio desde el que quieres enviar, y luego continúa hasta la pantalla de registros DNS.
- 2
Elige tu dominio de envío
Introduce el dominio exacto como el que Loops debe enviar, ya sea tu raíz (yourdomain.com) o un subdominio como send.yourdomain.com o updates.yourdomain.com. Loops genera el conjunto de registros de DKIM, SPF/MX del sobre y DMARC precisamente para ese dominio, así que elígelo antes de copiar nada.
- 3
Haz clic en View records
Abre la lista de registros (Settings → Domain → View records). Loops muestra cada registro con una columna Type (TXT, CNAME, MX). Crea cada registro por su Type, no por su título amistoso (SPF, DKIM, MX), porque el título es solo una etiqueta.
- 4
Añade los tres registros CNAME de DKIM
Loops lista tres entradas de DKIM con la forma host <token>._domainkey → valor <token>.dkim.amazonses.com. Añade cada una como CNAME exactamente como se muestra. No las cambies a TXT: estas delegan las claves DKIM rotatorias a SES, así que no hay ninguna clave pública que pegar.
- 5
Añade el TXT de SPF en el subdominio del sobre
Añade un registro TXT con host envelope y valor v=spf1 include:amazonses.com ~all. Este va en envelope.yourdomain.com, nunca en tu dominio raíz. NO necesitas crear primero el subdominio del sobre como A o CNAME: solo añade el TXT (y el MX de abajo) en esa etiqueta de host.
- 6
Añade el registro MX en el subdominio del sobre
Añade un registro MX con host envelope, prioridad 10 y valor feedback-smtp.{region}.amazonses.com (la región viene incorporada en el valor que Loops te muestra, p. ej. us-east-1). Algunos registradores quieren la prioridad en su propio campo; otros la esperan en línea como "10 feedback-smtp.…": introdúcela como lo exija tu panel o la verificación fallará.
- 7
Mantén un único registro DMARC en tu raíz
Publica (o conserva) un registro TXT en _dmarc.yourdomain.com que empiece por v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Loops también lista una entrada DMARC, únicamente para que tengas una, pero solo necesitas un único DMARC en el dominio raíz, así que no acabes con dos.
- 8
En Cloudflare, pon los CNAME en DNS only
Si tu DNS está en Cloudflare, cambia cada CNAME de DKIM a "DNS only" (nube gris). Un CNAME proxificado con nube naranja no resolverá a *.dkim.amazonses.com y DKIM seguirá sin verificarse.
- 9
Haz clic en Verify Records en Loops
De vuelta en la página de dominio de Loops, haz clic en Verify Records al final. Cada fila se pone verde con una marca de verificación cuando resuelve. La propagación suele ser de menos de una hora, pero puede tardar hasta 24–48 horas; si un registro sigue fallando después de eso, es un error de configuración de DNS, no propagación.
- 10
Envía una prueba y lee las cabeceras
Envía un mensaje real desde tu dominio de Loops, ábrelo en Gmail y elige ⋮ → Show original. Confirma SPF: PASS mostrando envelope.yourdomain.com, DKIM: PASS con d=yourdomain.com, y DMARC: PASS, todo alineado con tu dominio, no con amazonses.com.
Registros que añadir
Loops genera los valores exactos en su asistente de configuración; estos muestran la forma de lo que añadirás en tu proveedor de DNS.
| Tipo | Host | Valor |
|---|---|---|
| CNAME | token1._domainkey | token1.dkim.amazonses.comIlustrativo — clave DKIM 1. El token es único de tu cuenta; copia el host/valor exacto de Loops → View records. SES rota la clave que hay detrás. |
| CNAME | token2._domainkey | token2.dkim.amazonses.comIlustrativo — clave DKIM 2 (token por cuenta mostrado en el panel de Loops). |
| CNAME | token3._domainkey | token3.dkim.amazonses.comIlustrativo — clave DKIM 3 (token por cuenta mostrado en el panel de Loops). |
| TXT | envelope | v=spf1 include:amazonses.com ~allSPF del MAIL FROM personalizado — vive en el subdominio del sobre, NO en tu raíz. Añade 0 consultas a tu SPF raíz y alinea SPF con tu dominio. |
| MX | envelope | feedback-smtp.us-east-1.amazonses.comMX del MAIL FROM personalizado — prioridad 10; la región (p. ej. us-east-1) viene incorporada en el valor exacto que Loops te muestra. Un solo MX en este subdominio. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comTu política DMARC — uno por dominio, en la raíz. Empieza en p=none y luego endurece a quarantine/reject. |
Mantén exactamente un registro TXT de SPF (v=spf1) en tu dominio raíz: fusiona en él todos los remitentes. Tener dos registros SPF es en sí mismo un error.
El presupuesto de 10 consultas
El SPF tiene un límite estricto de 10 consultas DNS: si lo superas, devuelve un permerror y deja de validar en todas partes. Esto es lo que la configuración de Loops consume de ese presupuesto.
La configuración recomendada de Loops añade 0 consultas: las 10 quedan libres para los remitentes que sí necesitan un include.
DKIM
DKIM es el registro que soporta todo el peso en Loops, y como Loops funciona sobre Amazon SES Easy DKIM es completamente automático. Loops genera tres registros CNAME con la forma token1._domainkey.yourdomain.com → token1.dkim.amazonses.com (y lo mismo para token2 y token3). Publicas los tres como CNAME exactamente como los muestra la pantalla View records. Como son CNAME que delegan a SES en lugar de registros TXT que pegas, Loops y SES conservan las claves privadas y pueden rotar las claves DKIM publicadas detrás de esos selectores sin que tú vuelvas a editar el DNS nunca más: no hay clave pública que copiar ni longitud de clave que elegir. Cada mensaje de Loops se firma entonces con d=yourdomain.com, que es lo que se alinea con tu dirección From y permite que DMARC pase por alineación DKIM. Los nombres de host de los tokens exactos son únicos de tu cuenta, así que cópialos del panel de Loops en lugar de reutilizar los de otro dominio, y si tu DNS está en Cloudflare, pon los tres en "DNS only" (nube gris) o nunca se verificarán.
DMARC
DMARC es un registro de política aparte en tu dominio raíz, no algo que Loops gestione por ti. Añade un registro TXT en _dmarc.yourdomain.com que empiece por v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com — p=none es solo de monitorización, así que no afectará a la entrega mientras confirmas que el correo de Loops pasa alineado. Loops sí incluye una entrada DMARC en su lista de registros para que tengas una, pero solo necesitas un único registro DMARC en el dominio raíz: si ya publicas uno para Google Workspace, Microsoft 365 u otro remitente, conserva ese y omite la copia de Loops en lugar de publicar dos (dos registros DMARC no son válidos). Lo bueno con Loops es que no tienes que elegir entre mecanismos: el MAIL FROM del sobre alinea SPF y Easy DKIM alinea DKIM, así que obtienes dos maneras independientes de pasar DMARC. Una vez que tus informes agregados (rua) confirmen que Loops es una fuente consistente y alineada durante una o dos semanas, endurece la política de p=none a p=quarantine y, con el tiempo, p=reject.
Comprueba que de verdad funcionó
No te fíes solo del panel: confírmalo en un mensaje real. En Loops, cada fila de la página de dominio debería mostrar una marca de verificación verde después de que hagas clic en Verify Records. Luego envíate una prueba desde tu dominio de Loops, ábrela en Gmail y elige ⋮ → Show original: quieres ver SPF: PASS mostrando envelope.yourdomain.com (no solo amazonses.com), DKIM: PASS con d=yourdomain.com, y DMARC: PASS. ¿Prefieres un informe completo? Envía una prueba a check-auth@verifier.port25.com y te responderá por correo con un desglose completo. También puedes pasar tu dominio por el chequeo de salud de dominio de Qualisend para confirmar que los tres CNAME de DKIM más el SPF/MX del sobre resuelven, y en cuanto empiecen a llegar los informes agregados de DMARC, mete uno en el analizador de informes DMARC: Loops (a través de Amazon SES) debería aparecer como una fuente alineada que pasa.
Errores habituales
- Rompe la autenticación
Los registros no van donde imaginarías: SPF y MX viven en el subdominio envelope.yourdomain.com (el MAIL FROM personalizado de Loops), así que nunca tocan ni chocan con tu SPF raíz. Nunca añadas include:amazonses.com a tu SPF raíz: pertenece solo al subdominio del sobre, y en la raíz no hace nada útil mientras consume una consulta SPF.
- Configuración de DNS
No pre-crees el subdominio del sobre. NO necesitas añadir un registro A o CNAME para envelope primero: solo publica el TXT de SPF y el MX en esa etiqueta de host y resolverán.
- Configuración de DNS
El formato de la prioridad del MX hace tropezar a la gente. El MX del sobre debe tener prioridad 10; algunos registradores quieren la prioridad en un campo separado, otros la esperan en línea como "10 feedback-smtp.…". Introdúcela como lo exija tu panel y mantén exactamente un MX en el subdominio del sobre.
- Configuración de DNS
Usa la columna Type, no el título amistoso. Loops etiqueta las filas como SPF / DKIM / MX, pero debes crear cada registro por su Type real (TXT, CNAME o MX). Crear un CNAME de DKIM como TXT, o el SPF como CNAME, es el motivo más común de que Verify Records falle.
- Configuración de DNS
El proxy de Cloudflare rompe DKIM. Pon los tres CNAME de DKIM en "DNS only" (nube gris); un CNAME proxificado con nube naranja no resolverá a *.dkim.amazonses.com y el registro seguirá sin verificarse.
- Rompe la autenticación
Mantén un único DMARC en la raíz. Loops lista una entrada DMARC para que tengas una, pero dos registros DMARC en el mismo dominio no son válidos: si ya tienes _dmarc.yourdomain.com de otro remitente, consérvalo y omite la copia de Loops.
- Cobertura
Los valores son por cuenta: cópialos, no los adivines. Los tokens de DKIM y la región de feedback-smtp en el MX (p. ej. us-east-1) son específicos de tu dominio de Loops; pega las cadenas exactas de View records en lugar de reutilizar las de otro dominio o de otra guía.
- Rompe la autenticación
Cuidado con la duplicación del host y los puntos finales. Introduce solo la etiqueta (envelope, token1._domainkey) si tu panel añade automáticamente el dominio, y donde un host quiera un FQDN para el valor del CNAME/MX usa un punto final para que feedback-smtp.us-east-1.amazonses.com no se convierta en …amazonses.com.yourdomain.com.
Crea tu registro SPF
Loops no necesita un include: de SPF en tu dominio raíz: usa el generador para ensamblar un único registro limpio para tus otros remitentes y mantenlo en una sola línea.
Sending sources
Search for each platform you send email through and tick it.
Search for your email platform above, or .
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
No senders yet, so every message would hit the ~all policy. Add the platforms you send through in step 1.
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listSPF de Loops — Preguntas frecuentes
Lecturas relacionadas
Una vez publicado, confirma que todo se resuelve con el chequeo de salud del dominio y luego averigua quién envía en tu nombre con el analizador de informes DMARC. Explora todas las fuentes de envío en el generador. Eso sí, la autenticación es solo la mitad de la entregabilidad: una IP o un dominio de envío incluidos en una lista negra te llevan igualmente a spam por muy limpio que esté tu SPF, así que conviene vigilar las listas negras con monitorización de listas negras.
Autenticado: ahora mantén la lista limpia
Pasar SPF, DKIM y DMARC te lleva a la bandeja de entrada; una lista limpia te mantiene ahí. Verifica la tuya: empieza gratis con 100 créditos, sin tarjeta.