Autenticación de correo electrónico: qué es y cómo funcionan SPF, DKIM y DMARC
SPF, DKIM y DMARC: los tres controles que deciden si tu email llega
La autenticación de correo electrónico es el conjunto de comprobaciones que permite al servidor que recibe un email confirmar que lo envía quien dice enviarlo y que nadie lo ha cambiado por el camino. Se hace con tres registros que publicas en el DNS de tu dominio: SPF, DKIM y DMARC.
El protocolo que transporta el correo, SMTP, no comprueba por sí solo quién es el remitente. Por eso, sin autenticación, cualquiera podría enviar emails en nombre de tu dominio, y los proveedores de correo desconfiarían de tus envíos.
¿Por qué es importante autenticar tu correo?
- Protege tu dominio. Dificulta el spoofing y el phishing que usan tu nombre para engañar a tus clientes.
- Mejora la entregabilidad. Gmail, Outlook y Yahoo miran la autenticación antes de decidir si un email va a la bandeja de entrada o al spam.
- Ya es un requisito. Desde febrero de 2024, Gmail y Yahoo piden SPF o DKIM a todos los remitentes. Quien envía más de 5.000 emails al día a sus usuarios necesita además SPF, DKIM y DMARC, el dominio alineado, la baja en un clic y una tasa de spam baja. Microsoft aplica requisitos parecidos en Outlook.com y Hotmail desde mayo de 2025.
SPF, DKIM y DMARC: qué comprueba cada uno
| Registro | Qué comprueba | Tipo de registro DNS |
|---|---|---|
| SPF | Que el servidor que envía está autorizado por tu dominio | TXT |
| DKIM | Que el email lleva tu firma y no se ha modificado | TXT o CNAME con la clave pública |
| DMARC | Que SPF o DKIM pasan y coinciden con tu dominio, y qué hacer si no | TXT en _dmarc |
SPF (Sender Policy Framework)
Es un registro del DNS de tu dominio con la lista de servidores e IP autorizados para enviar en su nombre. El servidor que recibe el email comprueba si la IP de salida está en esa lista. Lo tienes explicado en detalle en la entrada SPF.
DKIM (DomainKeys Identified Mail)
Firma cada email con una clave privada. El servidor de destino lee la clave pública en el DNS de tu dominio y comprueba la firma: si coincide, sabe que el email sale de tu dominio y que nadie lo ha alterado. Más detalle en DKIM.
DMARC (Domain-based Message Authentication, Reporting and Conformance)
Comprueba que el email pasa SPF o DKIM y que el dominio que lo valida coincide con el que ve el destinatario en el «De». Además, le dice al servidor de destino qué hacer con los que fallan: nada (p=none), mandarlos a spam (p=quarantine) o rechazarlos (p=reject). Y te envía informes con lo que ha encontrado.
DMARC nació en 2012 de un grupo de empresas, entre ellas PayPal, Google, Microsoft y Yahoo. Ayuda a frenar el spoofing, que falsifica el campo «De» de un mensaje. Más detalle en DMARC.
Cómo funciona la autenticación de un email
- Envías el email y sale por el servidor de correo de tu proveedor o de tu plataforma de envío.
- El servidor lo firma con DKIM y lo entrega al servidor del destinatario por SMTP.
- El servidor de destino consulta el DNS de tu dominio: comprueba el SPF, valida la firma DKIM y aplica tu política DMARC.
- Después mira la reputación del remitente y de la IP, el contenido y sus filtros antispam.
- Si todo encaja, el email llega a la bandeja de entrada. Si falla, puede ir a spam o ser rechazado.
Envía con tu dominio autenticado
Configura SPF, DKIM y DMARC en tu dominio de envío y gana la confianza de los proveedores de correo.
Cómo comprobar si un email está autenticado
- En Gmail: abre el email, pulsa los tres puntos y elige «Mostrar original». Arriba verás SPF, DKIM y DMARC con el resultado: PASS si está bien.
- En Outlook: abre las propiedades o el origen del mensaje y busca la cabecera «Authentication-Results», con spf=pass, dkim=pass y dmarc=pass.
- Antes de una campaña: envíate un email de prueba y revisa esos resultados. Si alguno falla, revisa el registro en el DNS de tu dominio.
Errores habituales al autenticar el correo
- Tener dos registros SPF en el mismo dominio. Solo puede haber uno: si usas varios servicios, se juntan en el mismo registro.
- Olvidar alguna herramienta. Si envías desde tu correo, tu tienda online y tu plataforma de email marketing, las tres tienen que estar autorizadas.
- Configurar SPF y olvidar DKIM. Con reenvíos, el SPF puede fallar; la firma DKIM sigue siendo válida.
- Quedarse en p=none para siempre o saltar directamente a p=reject. Lo prudente es empezar en «none», leer los informes y endurecer la política poco a poco.
- No comprobarlo después. Un cambio de proveedor o de DNS puede romper la autenticación sin que te des cuenta.
Cómo te ayuda Mailrelay
En Mailrelay autenticas tu dominio con cuatro registros en el DNS: SPF, dominio personalizado, DKIM y DMARC. Tienes los valores exactos y el paso a paso en el tutorial Cómo configurar SPF, DKIM, DMARC y dominio personalizado en Mailrelay.
Con el dominio autenticado, tus campañas salen con tu propio dominio. Todas las suscripciones pasan por doble opt-in, las bajas se gestionan solas y a las direcciones con rebote duro no se les vuelve a enviar: así cuidas también tu reputación como remitente.
Llega a la bandeja de entrada, no al spam
Mailrelay trabaja con doble opt-in y te guía para autenticar tu dominio.
Preguntas frecuentes sobre la autenticación de correo
¿Es obligatorio autenticar el correo?
No hay una ley que lo exija, pero Gmail, Yahoo y Microsoft lo piden para entregar tus emails con normalidad, sobre todo si envías mucho. Sin autenticación, lo normal es acabar en spam.
¿Necesito SPF, DKIM y DMARC a la vez?
Es lo recomendable. Si envías más de 5.000 emails al día a Gmail, Yahoo u Outlook, los tres son obligatorios.
¿Cuánto tardan en aplicarse los cambios en el DNS?
Normalmente unas horas, aunque pueden tardar hasta 48 horas en propagarse.
¿Es lo mismo que la verificación en dos pasos o una app de autenticación?
No. La verificación en dos pasos protege el acceso a tu cuenta de correo con un código de un solo uso (te lo explicamos en OTP). La autenticación de correo demuestra que los emails que envías salen de verdad de tu dominio.
¿Cómo sé si alguien suplanta mi dominio?
Con los informes de DMARC: te llegan con los servidores que envían en nombre de tu dominio, tanto los autorizados como los que no.