SPF, DKIM y DMARC para Wix.
Wix autentica tu dominio de envío mediante registros CNAME, no pidiéndote que pegues una línea SPF compartida. El proceso vive dentro de Wix Email Marketing (antes parte de Ascend by Wix): añades una dirección de remitente, haces clic en "Autenticar este dominio" y Wix te muestra cinco registros CNAME que delegan la firma DKIM y el Return-Path a su backend de correo (que funciona sobre SendGrid). Una vez que esos CNAME resuelven, Wix puede enviar campañas como tu dominio, DKIM se alinea contigo y SPF pasa en el subdominio de envío, todo ello sin que una entrada "include:wix" llegue jamás a tocar tu SPF raíz. El matiz que la mayoría de guías pasa por alto: esto solo cubre Wix Email Marketing. Tu buzón de Wix y los correos automatizados del sitio de Wix se autentican de forma distinta, y uno de los cinco registros —el CNAME de auto-DMARC (CNAME 5)— es una trampa que deberías omitir.
¿Por qué autenticar Wix?
Autenticar tu dominio de envío de Wix es lo que decide si las campañas llegan siquiera a la bandeja de entrada. Desde febrero de 2024, Gmail y Yahoo exigen que todo remitente pase SPF o DKIM con una dirección From válida y alineada, y cualquier remitente masivo (aproximadamente 5.000 o más mensajes al día a direcciones de consumidores de Gmail/Yahoo) debe además pasar DKIM y publicar una política DMARC; Microsoft empezó a aplicar reglas similares para remitentes de alto volumen en 2025. Hasta que no te autenticas, Wix envía tus campañas en su propio dominio compartido desde una IP agrupada: los destinatarios ven correo que no está alineado contigo, DMARC no puede pasar y tu reputación queda mezclada con la del resto de remitentes de Wix sin autenticar. La propia Wix señala en su guía de entregabilidad que, desde febrero de 2024, los usuarios de correo de empresa "deben configurar SPF", y DKIM más DMARC una vez que superas el umbral de envío masivo. Completar la autenticación del dominio traslada esa reputación a tu propio dominio, hace que DKIM se alinee con tu dirección From y supera de una sola pasada el filtro de Gmail/Yahoo/Microsoft.
La realidad del SPF con Wix
Wix es un proveedor de autenticación basada en CNAME, así que para Wix Email Marketing NO hay ningún mecanismo "include:" que añadir a tu SPF raíz: nada de "Wix" entra en tu línea v=spf1 en absoluto. Cuando autenticas el dominio, Wix te entrega un CNAME de Return-Path/mail (su "CNAME 3") que apunta un subdominio de envío hacia su backend de SendGrid. Como ese subdominio resuelve dentro del espacio autorizado por SPF del propio SendGrid, SPF se satisface ahí automáticamente, y DMARC pasa por alineación SPF relajada (el subdominio de Return-Path comparte tu dominio organizativo con la dirección From); nunca publicas un include SPF de Wix en tu dominio raíz. La única vez que un include SPF compartido entra en juego en un dominio de Wix es si TAMBIÉN usas un buzón de Wix: Wix Business Email funciona con Google Workspace, así que esa ruta usa include:_spf.google.com, un include de Google, no de Wix. Y los correos automatizados del sitio de Wix (confirmaciones de pedido, notificaciones de formularios, disparadores de automatizaciones) se envían desde el propio dominio de Wix sobre infraestructura compartida; esos no pueden alinearse por SPF con tu dominio, así que autenticar tu dominio de marketing no los cubre de forma retroactiva. En resumen: Email Marketing = delegación por CNAME sin cambios en el SPF raíz; un buzón de Wix = registros de Google Workspace; correo automatizado del sitio = dominio propio de Wix, fuera de tu control.
Paso a paso
- 1
Decide qué correo de Wix estás autenticando
Wix tiene tres flujos de correo separados y cada uno se autentica de forma distinta. Esta guía cubre las campañas de Wix Email Marketing (el flujo de CNAME de más abajo). Tu buzón de Wix es un producto aparte, con tecnología de Google Workspace, y usa los MX, el include SPF y el DKIM de Google en su lugar. Los correos automatizados del sitio (confirmaciones de pedido, notificaciones de formularios, automatizaciones) se envían desde el propio dominio de Wix y no pueden alinearse con el tuyo. Aclara desde cuál envías realmente antes de tocar el DNS.
- 2
Abre la pantalla de autenticación del remitente
En tu panel de Wix, abre Email Marketing. A la derecha, bajo Sender Details, haz clic en Manage Senders (o Add Sender si aún no tienes ninguno). Aquí es donde se añaden y autentican los dominios de envío personalizados.
- 3
Añade y confirma tu dirección de remitente
Introduce la dirección From desde la que enviarás las campañas (por ejemplo hello@yourdomain.com) y confírmala con el código que Wix envía a ese buzón. Hasta que la dirección no esté confirmada, el dominio aparece como 'Not authenticated' y no se ofrecerán los registros CNAME.
- 4
Muestra los cinco registros CNAME
Con el remitente confirmado, haz clic en Authenticate this domain. Wix abre una lista de cinco registros CNAME: tres delegaciones de clave DKIM (sus CNAME 1, 2 y 4), un enlace de Return-Path/mail hacia el backend de SendGrid de Wix (CNAME 3) y un CNAME de auto-DMARC opcional (CNAME 5). Mantén esta pantalla abierta para copiar los valores exactos de Host y Points-to: se generan por cuenta.
- 5
Añade los CNAME en tu proveedor de DNS
En tu proveedor de DNS, añade cada registro como tipo CNAME, pegando el valor de Host de Wix en el campo host/name y el valor Points-to en el campo target/value. Copia solo la primera parte del Host (el prefijo sin tu dominio): la mayoría de paneles de DNS añaden tu dominio automáticamente. Si tu dominio usa los servidores de nombres de Wix, añádelos en Wix Domains > tu dominio > DNS Records; si el dominio apunta a otro registrador, añádelos allí.
- 6
Omite el CNAME de DMARC de Wix y publica el tuyo
El CNAME 5 de Wix crea automáticamente un registro DMARC por ti, pero sin dirección de informes rua, dándote cumplimiento sobre el papel y cero visibilidad sobre quién envía como tú. En lugar de añadir el CNAME 5, publica tu propio registro TXT en _dmarc con una dirección de informes: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Nunca añadas ambos: el DNS prohíbe un CNAME junto a cualquier otro registro en el mismo nombre, así que un CNAME y un TXT en _dmarc colisionan y rompen DMARC.
- 7
Verifica dentro de Wix
De vuelta en la pantalla de autenticación, haz clic en Verify (o actualiza el Domain status). El DNS suele resolver en unas horas, pero Wix admite hasta 24-48 horas. Cuando se encuentran todos los registros, el estado cambia a 'Authenticated'. Si se atasca, vuelve a comprobar que pegaste solo el prefijo del Host y que ningún registro tiene un sufijo de dominio duplicado.
- 8
Confirma la alineación de forma independiente
No te fíes solo del distintivo de Wix: envía una campaña de prueba a una cuenta de Gmail, abre 'Mostrar original' y confirma que tanto SPF como DKIM muestran PASS y que el dominio d= de DKIM y el Return-Path son tu dominio (alineado), no una dirección pelada sendgrid.net. Luego pasa tu dominio por un comprobador externo para saber que los registros resuelven en la internet pública.
Registros que añadir
Wix genera los valores exactos en su asistente de configuración; estos muestran la forma de lo que añadirás en tu proveedor de DNS.
| Tipo | Host | Valor |
|---|---|---|
| CNAME | s1._domainkey | s1.domainkey.u1234567.wl123.sendgrid.netClave DKIM n.º 1 (el CNAME 1 de Wix). Delega una clave pública DKIM al backend de SendGrid de Wix para que las campañas se firmen con DKIM con d=yourdomain y se alineen con tu dirección From. El prefijo del Host y el destino se generan por cuenta: copia los valores exactos que Wix te muestra. |
| CNAME | s2._domainkey | s2.domainkey.u1234567.wl123.sendgrid.netClave DKIM n.º 2 (CNAME 2). Wix también te entrega un tercer CNAME de DKIM (su CNAME 4, con el mismo patrón s#._domainkey): añade los tres. Las claves viven detrás de los CNAME, así que Wix/SendGrid pueden rotarlas sin que tú tengas que republicar el DNS. Selector/destino ilustrativo: usa los valores del panel. |
| CNAME | em1234 | u1234567.wl123.sendgrid.netEnlace de Return-Path / mail (CNAME 3). Apunta un subdominio de envío de tu dominio hacia los servidores de SendGrid de Wix; como ese subdominio resuelve dentro del espacio autorizado por SPF de SendGrid, SPF pasa ahí y se alinea con tu dominio bajo alineación relajada. Por esto NO hay ninguna línea include: que añadir a tu SPF raíz. |
| CNAME | _dmarc | (Wix-generated DMARC target — shown in dashboard)CNAME 5 opcional de Wix. Delega DMARC en un registro gestionado por Wix/SendGrid sin dirección de informes rua, así que obtienes cero visibilidad sobre quién envía como tú. Recomendado: NO añadas este; publica el TXT autogestionado de abajo en su lugar. Un CNAME aquí también te impide añadir tu propio TXT en _dmarc. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comDMARC autogestionado recomendado en lugar del CNAME 5 de Wix, para que los informes agregados te lleguen de verdad. Nunca publiques a la vez un CNAME y un TXT en _dmarc: el DNS prohíbe un CNAME junto a cualquier otro registro en el mismo nombre, así que colisionan. Empieza en p=none, lee los informes y luego endurece a quarantine/reject. |
Mantén exactamente un registro TXT de SPF (v=spf1) en tu dominio raíz: fusiona en él todos los remitentes. Tener dos registros SPF es en sí mismo un error.
El presupuesto de 10 consultas
El SPF tiene un límite estricto de 10 consultas DNS: si lo superas, devuelve un permerror y deja de validar en todas partes. Esto es lo que la configuración de Wix consume de ese presupuesto.
La configuración recomendada de Wix añade 0 consultas: las 10 quedan libres para los remitentes que sí necesitan un include.
DKIM
DKIM es el núcleo de la autenticación de Wix y está delegado por completo mediante CNAME. Cuando autenticas el dominio, Wix te da tres registros CNAME de DKIM (sus CNAME 1, 2 y 4) en hosts de selector como s1._domainkey y s2._domainkey que apuntan a su backend de SendGrid (destinos como s1.domainkey.u1234567.wl123.sendgrid.net). Como la clave vive detrás de un CNAME en lugar de un registro TXT que pegas tú, Wix/SendGrid pueden rotar la clave pública subyacente por su lado sin que tú tengas que volver a editar el DNS nunca más: publicas los punteros una sola vez, y el d= de la firma es tu propio dominio, así que se alinea. No hay nada que generar por tu parte: no inventes un valor p= y no conviertas estos registros en registros TXT. Copia cada prefijo de Host y cada destino Points-to exactamente. Si envías desde un buzón de Wix en lugar de Email Marketing, el DKIM es el de Google Workspace: un selector google activado en la consola de administración de Google, que es una clave completamente separada de las de SendGrid anteriores.
DMARC
DMARC es el único punto en el que hay que ser deliberado en Wix. Wix se ofrece a configurar DMARC por ti automáticamente a través de su quinto CNAME (CNAME 5), pero ese atajo delega en un registro gestionado por Wix/SendGrid sin ninguna dirección de informes rua: satisface el 'existe un registro DMARC' para la casilla de Gmail/Yahoo mientras no te da aplicación alguna y, sobre todo, ningún informe sobre quién está enviando como tu dominio. Omítelo. En su lugar, publica tu propio registro TXT en el host _dmarc: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Nunca publiques a la vez el CNAME de DMARC de Wix y tu propio TXT en _dmarc: el DNS no permite que un CNAME coexista con ningún otro tipo de registro en el mismo nombre, así que colisionan y rompen la resolución de DMARC. Empieza en p=none para que los informes agregados fluyan sin afectar a la entrega, confirma que cada flujo legítimo (Email Marketing, tu buzón, cualquier otro ESP) se alinea, y luego sube a p=quarantine y finalmente a p=reject. Construye el registro con un generador para que las etiquetas sean válidas, y nunca saltes directamente a reject antes de la fase de monitorización.
Comprueba que de verdad funcionó
Confirma la autenticación en dos sitios, no en uno. Primero, la pantalla de Wix: después de que el DNS propague (unas horas, hasta 24-48), actualiza el estado del dominio (Domain status) en Sender Details hasta que ponga 'Authenticated', lo que significa que Wix encontró todos sus CNAME. Segundo, y más importante, verifica la alineación real: envía una campaña de prueba a una dirección de Gmail, abre el mensaje, elige 'Mostrar original' y comprueba que SPF = PASS, DKIM = PASS, y que tanto el dominio d= de DKIM como el Return-Path muestran tu dominio (alineado) en lugar de una dirección pelada sendgrid.net. Luego pasa tu dominio por un comprobador externo de SPF/DKIM/DMARC para confirmar que los registros resuelven públicamente y que tu _dmarc es el TXT autogestionado, no un CNAME de Wix accidental. El verde en Wix más el PASS-y-alineado en las cabeceras es la verdadera línea de meta.
Errores habituales
- Configuración de DNS
El auto-DMARC de Wix (CNAME 5) es una trampa: publica una política sin dirección rua, así que obtienes cumplimiento sobre el papel y cero visibilidad. Omítelo y publica tu propio TXT en _dmarc con un buzón de informes en su lugar.
- Configuración de DNS
Nunca pongas a la vez un CNAME y un TXT en _dmarc. Si añadiste el CNAME 5 de DMARC de Wix y además quieres tu propia política, elimina primero el CNAME: el DNS prohíbe un CNAME junto a cualquier otro registro en el mismo nombre, así que la colisión rompe por completo las consultas de DMARC.
- Rompe la autenticación
Email Marketing y tu buzón de Wix son productos distintos. Autenticar las campañas (CNAME de SendGrid) no hace nada por tu buzón, que es Google Workspace y necesita los MX de Google, el include SPF (include:_spf.google.com) y DKIM, y viceversa.
- Cobertura
Los correos automatizados del sitio (confirmaciones de pedido, notificaciones de formulario/contacto, automatizaciones) se envían desde el propio dominio de Wix sobre infraestructura compartida y no pueden alinearse con el tuyo. No esperes que la autenticación del dominio arregle su dirección From ni su alineación DMARC.
- Cobertura
Introduce solo el prefijo del Host, no el dominio completo. Wix muestra el nombre de host entero, pero la mayoría de paneles de DNS añaden tu dominio automáticamente: pegar el FQDN completo crea un registro roto como s1._domainkey.yourdomain.com.yourdomain.com.
- Configuración de DNS
Comprueba si tu dominio está conectado a Wix (servidores de nombres de Wix) o solo apunta a otro registrador. Si apunta, añade los CNAME en ese registrador: los registros añadidos dentro de Wix se ignoran cuando Wix no es tu host DNS autoritativo.
- Configuración de DNS
Estos son CNAME, no registros TXT. No intentes 'leer' una clave pública DKIM de ellos ni pegarlos en un include SPF: no hay ningún include SPF de Wix, y las claves están delegadas, no publicadas por ti.
- Configuración de DNS
Un auto-DMARC pelado de Wix no basta una vez que superas el umbral de envío masivo (~5.000 mensajes/día a Gmail/Yahoo). El requisito es una política DMARC funcional y monitorizada con alineación DKIM: autogestiona el TXT de _dmarc para poder ver de verdad los informes y endurecer la política.
Crea tu registro SPF
Wix no necesita un include: de SPF en tu dominio raíz: usa el generador para ensamblar un único registro limpio para tus otros remitentes y mantenlo en una sola línea.
Sending sources
Search for each platform you send email through and tick it.
Search for your email platform above, or .
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
No senders yet, so every message would hit the ~all policy. Add the platforms you send through in step 1.
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listSPF de Wix — Preguntas frecuentes
Lecturas relacionadas
Una vez publicado, confirma que todo se resuelve con el chequeo de salud del dominio y luego averigua quién envía en tu nombre con el analizador de informes DMARC. Explora todas las fuentes de envío en el generador. Eso sí, la autenticación es solo la mitad de la entregabilidad: una IP o un dominio de envío incluidos en una lista negra te llevan igualmente a spam por muy limpio que esté tu SPF, así que conviene vigilar las listas negras con monitorización de listas negras.
Autenticado: ahora mantén la lista limpia
Pasar SPF, DKIM y DMARC te lleva a la bandeja de entrada; una lista limpia te mantiene ahí. Verifica la tuya: empieza gratis con 100 créditos, sin tarjeta.