Configurar SPF, DKIM y DMARC en tu dominio
Los tres registros que deciden si tus correos llegan a la bandeja de entrada o a la de spam.Gmail, Yahoo y Outlook exigen que los remitentes autentiquen su correo, y quien no lo hace ve sus mensajes rechazados o en spam. Revisamos todos los servicios que envían en nombre de tu dominio, configuramos SPF, DKIM y DMARC correctamente y llevamos DMARC hasta una política que proteja de verdad tu marca.
Empresas e instituciones que confían su tecnología a Sysprovider
Qué son SPF, DKIM y DMARC y por qué ya no son opcionales
Durante años muchos dominios han funcionado sin autenticación o con un SPF a medias. Eso se acabó. Desde febrero de 2024 Google y Yahoo exigen autenticación a quien envía a sus usuarios, y en 2025 tanto Microsoft (para Outlook.com, Hotmail y Live) como Google endurecieron la aplicación: los mensajes que no cumplen pueden ser limitados, rechazados o enviados a spam.
Qué piden los grandes proveedores
Según las directrices de remitentes de Gmail, todos los remitentes deben autenticar con SPF o DKIM, tener DNS directo e inverso válido en sus servidores de envío, usar TLS y mantener una tasa de spam baja. Quienes envían más de 5.000 mensajes al día a cuentas de Gmail deben además tener SPF y DKIM, publicar un registro DMARC (vale con p=none), que el dominio del remitente esté alineado con SPF o DKIM, e incluir en el correo comercial una baja con un solo clic. Yahoo aplica requisitos equivalentes y Microsoft exige SPF, DKIM y DMARC a los remitentes de gran volumen hacia sus servicios de consumo. Aunque tu empresa envíe poco, cumplir el nivel alto es la mejor garantía de entregabilidad.
SPF: qué servidores pueden enviar
SPF es un registro TXT que enumera los servidores autorizados a enviar con tu dominio: tu correo (Google Workspace, Microsoft 365 o tu hosting), la web, el ERP, la plataforma de newsletters, el CRM o el programa de facturación. Los errores típicos son tener dos registros SPF (lo que invalida ambos), superar el límite de 10 consultas DNS a fuerza de añadir include, o dejar fuera un servicio que envía facturas. Hacemos inventario real de quién envía antes de tocar nada.
DKIM: la firma de cada mensaje
DKIM añade una firma criptográfica que el destinatario verifica con una clave pública publicada en tu DNS. Cada plataforma tiene su propio selector: Google Workspace genera un registro TXT, Microsoft 365 usa dos CNAME, y servicios como Brevo, Mailchimp o tu ERP tienen los suyos. Usamos claves de 2048 bits cuando la plataforma lo admite y comprobamos que todos los servicios firmen con tu dominio, no con el suyo.
DMARC: la política y los informes
DMARC une lo anterior: indica qué hacer con los mensajes que dicen ser de tu dominio y no pasan SPF ni DKIM alineados, y a quién enviar informes. Empezamos con p=none para recoger informes sin afectar a la entrega, analizamos quién envía en tu nombre, corregimos los servicios que fallan y subimos a p=quarantine y, cuando es seguro, a p=reject. Solo con una política de bloqueo DMARC protege realmente contra la suplantación de tu dominio.
Y después
La autenticación no es algo que se configura una vez: cada vez que contratáis una herramienta que envía correo hay que incorporarla. Por eso ofrecemos seguimiento de los informes DMARC dentro de nuestros servicios de correo gestionado. Si tus correos ya están llegando a spam, empieza por nuestra guía de por qué tus correos llegan a spam.
Qué incluye la configuración de SPF, DKIM y DMARC
Inventario de envíos
Correo, web, ERP, CRM, newsletters y cualquier servicio que use tu dominio.
SPF optimizado
Un único registro, sin exceder el límite de consultas DNS.
DKIM en cada servicio
Firma con tu dominio en Google, Microsoft, Brevo, ERP y demás.
Política DMARC
Despliegue progresivo de p=none a p=reject sin perder correos legítimos.
Análisis de informes
Lectura de informes DMARC para detectar fallos y suplantaciones.
Envío masivo conforme
Baja con un clic y buenas prácticas para newsletters.
Ver másElige el pack que encaja contigo
Precio cerrado tras una breve consulta: te lo damos por escrito antes de empezar, sin sorpresas.
Revisión
Dominios que quieren saber si cumplen
- Diagnóstico de SPF, DKIM y DMARC
- Comprobación de alineación
- Informe de errores y correcciones
- Recomendaciones por escrito
Configuración
Empresas que necesitan dejarlo bien hecho
- Todo lo del pack Revisión
- Inventario de servicios que envían
- SPF y DKIM en todas las plataformas
- DMARC inicial con informes
- Comprobación de entrega a Gmail y Outlook
Protección continua
Empresas que quieren llegar a p=reject y mantenerlo
- Todo lo del pack Configuración
- Seguimiento de informes DMARC
- Subida progresiva a quarantine y reject
- Alta de nuevos servicios de envío
- Alertas ante intentos de suplantación
Cómo configuramos la autenticación de tu dominio
Diagnóstico
Leemos los registros actuales y las cabeceras de tus correos.
Inventario
Identificamos todos los servicios que envían con tu dominio.
SPF y DKIM
Publicamos un SPF correcto y activamos DKIM en cada plataforma.
DMARC
Publicamos DMARC en modo observación y recogemos informes.
Endurecer
Corregimos fallos y subimos la política hasta bloquear suplantaciones.
Por qué las empresas confían en Sysprovider
La seriedad no se declara, se demuestra con hechos verificables.
Infraestructura propia
Red propia AS199038 y membresía LIR de RIPE NCC. No somos revendedores.
Centro de datos certificado
Alojamiento en España en instalaciones certificadas ISO 27001 y ENS.
Seguro de responsabilidad civil
Cobertura con Hiscox para la tranquilidad de nuestros clientes.
Equipo propio en España
Técnicos y consultores de Sysprovider, sin centralitas ni subcontratas.
Soporte 24/7
Respuesta ante incidencias críticas los 365 días del año.
Partners oficiales
Odoo, Microsoft, Google Workspace, Shopify, Acronis y Sage, entre otros.
Lo que suelen preguntarnos
¿Es obligatorio tener DMARC?
Gmail y Yahoo lo exigen a quien envía más de 5.000 mensajes al día a sus usuarios, y es muy recomendable para todos porque es lo que impide que suplanten tu dominio.
¿Puedo tener dos registros SPF?
No. Si hay dos, ambos se consideran inválidos. Hay que unificarlos en uno.
¿Por qué falla DMARC si SPF pasa?
Porque DMARC exige alineación: el dominio validado por SPF o DKIM debe coincidir con el que ve el destinatario en el remitente.
¿Empezar con p=reject es buena idea?
No. Sin analizar antes los informes podrías bloquear correos legítimos, como facturas enviadas desde el ERP. Se empieza con p=none.
¿Sirve si envío pocos correos?
Sí. Los requisitos básicos de autenticación se aplican a todos los remitentes, y sin ellos aumenta la probabilidad de acabar en spam.
¿Tengo que cambiar de proveedor de correo?
No. SPF, DKIM y DMARC se configuran en el DNS de tu dominio, sea cual sea tu proveedor.
¿Revisamos la autenticación de tu dominio?
Cuéntanos tu caso y te damos un precio cerrado por escrito.
Confianza
