Cómo corregir SPF, DKIM y DMARC

Qué hace cada registro

• SPF enumera los servidores autorizados a enviar correo en nombre de tu dominio.
• DKIM añade una firma que demuestra que el mensaje no se modificó y que procede de tu dominio.
• DMARC indica a los servidores receptores qué hacer cuando un mensaje falla la validación, y te envía informes.

Empieza pasando tu dominio por el Email DNS Checker para ver cuáles de los tres necesitan trabajo. Google y Yahoo ahora exigen estos registros a los remitentes masivos, así que si faltan, pueden afectar la entrega de tu correo.

Cómo corregir SPF

SPF es un único registro TXT en tu dominio raíz. Enumera todos los servicios que envían tu correo:

v=spf1 include:_spf.google.com ~all

Usa el valor include que te proporcione tu proveedor. Los errores más comunes son:

• Dos registros SPF. Un dominio solo puede tener uno. Combínalos: v=spf1 include:_spf.google.com include:sendgrid.net ~all.
• Demasiadas búsquedas. SPF permite 10 búsquedas DNS. Cada include cuenta, junto con los que estén anidados dentro. Elimina los servicios que ya no uses.
• Un remitente olvidado. Los boletines, las facturas y los formularios de contacto suelen enviar desde otros servicios. Añade cada uno.

Cómo corregir DKIM

No tienes que escribir DKIM tú mismo. Tu proveedor de correo genera una clave y la publicas en una dirección como esta:

selector._domainkey.example.com

Busca la configuración de DKIM en el panel de administración de tu proveedor, copia el registro que te dé y luego activa la firma allí. Si una comprobación indica que falta DKIM, puede que solo necesite el selector correcto, que varía según el proveedor. Para confirmarlo, envíate un correo y revisa sus encabezados con el Email Header Analyzer. Busca dkim=pass.

Cómo corregir DMARC

Añade un registro TXT en _dmarc.example.com. Empieza en modo de monitoreo, que no cambia nada en la entrega:

v=DMARC1; p=none; rua=mailto:dmarc@example.com

Avanza por etapas cuando los informes muestren que tu correo real pasa la validación:

1. p=none: revisa los informes durante unas semanas.
2. p=quarantine: el correo que falla va a spam.
3. p=reject: el correo que falla se rechaza.

No pases directamente a p=reject. Si un servicio que usas aún no está cubierto por SPF y DKIM, su correo dejará de llegar.

Comprueba el resultado

Los cambios en DNS pueden tardar en propagarse, así que usa primero el DNS Propagation Checker y luego vuelve a ejecutar el Email DNS Checker. Para la prueba final, envía un correo real y confirma que SPF, DKIM y DMARC pasan en sus encabezados.